Блог

У меня есть простой PHP-скрипт, который я пытаюсь выполнить междоменный CORS-запрос:

 <?php
header("Access-Control-Allow-Origin: *");
header("Access-Control-Allow-Headers: *");
...
 

Тем не менее, я все еще получаю ошибку:

Поле заголовка запроса X-Requested-With не разрешено Access-Control-Allow-Headers

Что-нибудь, что я упускаю?

Правильная обработка запросов CORS немного сложнее. Вот функция, которая будет отвечать более полно (и правильно).

 /**
 *  An example CORS-compliant method.  It will allow any GET, POST, or OPTIONS requests from any
 *  origin.
 *
 *  In a production environment, you probably want to be more restrictive, but this gives you
 *  the general idea of what is involved.  For the nitty-gritty low-down, read:
 *
 *  - https://developer.mozilla.org/en/HTTP_access_control
 *  - https://fetch.spec.whatwg.org/#http-cors-protocol
 *
 */
function cors() {
    
    // Allow from any origin
    if (isset($_SERVER['HTTP_ORIGIN'])) {
        // Decide if the origin in $_SERVER['HTTP_ORIGIN'] is one
        // you want to allow, and if so:
        header("Access-Control-Allow-Origin: {$_SERVER['HTTP_ORIGIN']}");
        header('Access-Control-Allow-Credentials: true');
        header('Access-Control-Max-Age: 86400');    // cache for 1 day
    }
    
    // Access-Control headers are received during OPTIONS requests
    if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {
        
        if (isset($_SERVER['HTTP_ACCESS_CONTROL_REQUEST_METHOD']))
            // may also be using PUT, PATCH, HEAD etc
            header("Access-Control-Allow-Methods: GET, POST, OPTIONS");
        
        if (isset($_SERVER['HTTP_ACCESS_CONTROL_REQUEST_HEADERS']))
            header("Access-Control-Allow-Headers: {$_SERVER['HTTP_ACCESS_CONTROL_REQUEST_HEADERS']}");
    
        exit(0);
    }
    
    echo "You have CORS!";
}
 

Примечания по безопасности

Сверьте заголовок HTTP_ORIGIN со списком утвержденных источников.

Если источник не утвержден, вам следует отклонить запрос.

Пожалуйста, прочитайте спецификацию.

TL; DR

Когда браузер хочет выполнить межсайтовый запрос, он сначала подтверждает, что это нормально с «предварительным» запросом на URL. Разрешая CORS, вы сообщаете браузеру, что ответы с этого URL-адреса могут быть переданы другим доменам.

CORS не защищает ваш сервер. CORS пытается защитить ваших пользователей, сообщая браузерам, какие ограничения должны быть на обмен ответами с другими доменами. Обычно такой обмен категорически запрещен, поэтому CORS — это способ проделать дыру в обычной политике безопасности браузера. Эти отверстия должны быть как можно меньше, поэтому всегда проверяйте HTTP_ORIGIN на соответствие какому-либо внутреннему списку.

Здесь есть некоторые опасности, особенно если данные, которые предоставляет URL, обычно защищены. Вы фактически разрешаете содержимому браузера, созданному на каком-либо другом сервере, считывать (и, возможно, манипулировать) данными на вашем сервере.

Если вы собираетесь использовать CORS, пожалуйста, внимательно прочитайте протокол (он довольно маленький) и попытайтесь понять, что вы делаете. Для этой цели в примере кода указан ссылочный URL-адрес.

Безопасность заголовков

Было замечено, что заголовок HTTP_ORIGIN небезопасен, и это правда. Фактически, все HTTP-заголовки небезопасны для различных значений термина. Если заголовок не содержит проверяемой подписи / hmac или весь диалог не аутентифицируется через TLS, заголовки — это просто «то, что мне сказал браузер».

В этом случае браузер сообщает: «объект из домена X хочет получить ответ с этого URL. Это нормально? » Смысл CORS в том, чтобы иметь возможность ответить: «Да, я разрешаю это».

Я получил ту же ошибку и исправил ее с помощью следующего PHP в моем серверном скрипте:

 header('Access-Control-Allow-Origin: *');

header('Access-Control-Allow-Methods: GET, POST');

header("Access-Control-Allow-Headers: X-Requested-With");
 

Access-Control-Allow-Headers не допускается * в качестве принятого значения, см. Документацию Mozilla здесь .

Вместо звездочки вы должны отправить принятые заголовки (сначала X-Requested-With , как указано в ошибке).

Обновить:

* теперь принято есть Access-Control-Allow-Headers .

Согласно MDN Web Docs 2021:

Значение * учитывается только как специальное подстановочное значение для запросов без учетных данных (запросов без HTTP-файлов cookie или информации об аутентификации HTTP). В запросах с учетными данными оно обрабатывается как буквальное имя заголовка * без специальной семантики. Обратите внимание, что заголовок авторизации не может быть подстановочным и всегда должен быть указан явно.

Во многих описаниях, размещенных в Интернете, не упоминается, что указания Access-Control-Allow-Origin недостаточно. Вот полный пример, который работает для меня:

 <?php
    if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
        header('Access-Control-Allow-Origin: *');
        header('Access-Control-Allow-Methods: POST, GET, DELETE, PUT, PATCH, OPTIONS');
        header('Access-Control-Allow-Headers: token, Content-Type');
        header('Access-Control-Max-Age: 1728000');
        header('Content-Length: 0');
        header('Content-Type: text/plain');
        die();
    }

    header('Access-Control-Allow-Origin: *');
    header('Content-Type: application/json');

    $ret = [
        'result' => 'OK',
    ];
    print json_encode($ret);