Trova il controllo che blocca la tua richiesta cross-origin
Un browser lascerebbe che il tuo codice leggesse questa risposta? E se no, quale controllo ha detto di no.
Questa è la diagnosi di una richiesta, non un dump di intestazioni. Descrivi la chiamata che fa il tuo codice - l'endpoint, l'origine su cui gira, il metodo, le intestazioni che imposta, se invia credenziali - e lo strumento dice se un browser ti lascerebbe leggere la risposta e quale controllo preciso lo ha deciso.
Un server che risponde a ogni origine con quella stessa origine sembra identico a un elenco consentito configurato bene, se provi soltanto il tuo. Una richiesta da un'origine che il server non ha mai visto separa i due casi, e questo conta perché un server che rimanda l'origine come eco, insieme alle credenziali, è esattamente la configurazione che rende una risposta leggibile da ogni sito visitato da quell'utente.
| Intestazione | Con credenziali |
|---|---|
| Access-Control-Allow-OriginNiente asterisco | Deve nominare l'origine. Un asterisco viene rifiutato del tutto, anche accanto ad Access-Control-Allow-Credentials: true. |
| Allow-Methods, Allow-Headers, Expose-HeadersLetterale | Un asterisco smette di essere un jolly e si legge come nome letterale di intestazione o metodo. |
| Access-Control-Allow-CredentialsObbligatoria | L'unico valore accettato è la stringa esatta true, in minuscolo. |
Ogni rilievo porta una gravità, una categoria, la fase da cui proviene, la prova su cui si fonda, le intestazioni che riguarda e una raccomandazione. Anche i controlli superati sono elencati, quindi un risultato pulito si vede invece di restare semplicemente vuoto. Due regole che le raccomandazioni seguono, perché il consiglio ovvio è spesso quello sbagliato: qui nulla ti dice di aprire un metodo, un'intestazione o un'origine solo per far sparire un riquadro rosso - un DELETE bloccato può essere un endpoint correttamente chiuso - e qui nulla suggerisce mai di rimandare come eco un'origine arbitraria. La risposta è un elenco consentito, ogni volta.
CORS decide quali origini possono leggere una risposta dentro un browser. Non è autenticazione, non concede permessi e non ferma la falsificazione di richieste tra siti, perché un attacco CSRF non ha mai bisogno di leggere la risposta. Qualsiasi client che non sia un browser lo ignora del tutto. Questo strumento lo dice apertamente, invece di lasciare che un verdetto verde faccia pensare che il tuo endpoint sia protetto.
Le funzionalità più importanti spiegate in modo pratico.
Consentita o bloccata, per esattamente il metodo, le intestazioni, l'origine e la modalità credenziali che descrivi, con il controllo che lo ha deciso, nominato. Non un elenco di intestazioni lasciato alla tua interpretazione.
Sei fasi, ciascuna riportata appena si conclude. Il preflight OPTIONS parte come lo manderebbe un browser, e poi segue la richiesta vera, perché il preflight da solo non mostra mai le intestazioni CORS della risposta reale.
Una richiesta è semplice solo se il metodo è GET, HEAD o POST e ogni intestazione è nella safelist CORS, con Content-Type limitato a tre valori. Lo strumento applica la regola invece di indovinare, ed è di solito da lì che arriva la richiesta OPTIONS inattesa.
Una richiesta in più da un'origine che il server non ha mai visto separa un vero elenco consentito da un server che rimanda come eco tutto ciò che riceve. I due casi sembrano identici se provi soltanto la tua origine.
Un'origine jolly diventa non valida, e gli asterischi in Allow-Methods, Allow-Headers ed Expose-Headers smettono di essere jolly e si leggono come nomi letterali. L'analisi applica il set di regole più severo, non quello più diffuso.
Un browser ricomincia il controllo CORS a ogni reindirizzamento, quindi ogni salto viene valutato di nuovo prima di essere seguito. Una catena che finisce in un punto permissivo può essere bloccata comunque per strada.
Fino a dieci origini aggiuntive provate contro lo stesso endpoint e mostrate in tabella, il modo più rapido per confermare che locale, staging e produzione sono tutte nell'elenco consentito e nulla di più.
Ognuno porta una gravità, una categoria, la fase da cui proviene, la prova che lo sostiene e le intestazioni che riguarda, accanto ai controlli superati. Nessuna raccomandazione ti dice di aprire un metodo, un'intestazione o un'origine solo per far sparire un avviso.
Un percorso chiaro dalla fonte ufficiale al primo utilizzo riuscito.
Usa uno dei link ufficiali disponibili per il tuo dispositivo o browser.
Segui le istruzioni dello store o apri l'applicazione web. Nessun programma di installazione di terze parti.
Controlla le opzioni, scegli le preferenze e inizia dal flusso principale.
Una panoramica trasparente delle tecnologie principali usate per creare e mantenere questo prodotto.
I tuoi dati restano sul tuo dispositivo. Sempre.
