CORS: Das Verständnis der „Preflight“-Anfrage für domänenübergreifende Anfragen

Cross-Origin Resource Sharing (CORS) stellt bei der Erstellung von HTTP eine Herausforderung dar Anfragen über Domänen hinweg. Um diese Einschränkungen zu beheben, wurden Preflight-Anfragen als Problemumgehung eingeführt.

Erläuterung der Preflight-Anfrage

Preflight-Anfragen sind OPTIONS-Anfragen, die tatsächlichen Anfragen vorausgehen (z. B. GET oder POST). ) und dienen dazu, mit dem Server über die Berechtigungen der Anfrage auszuhandeln. Diese Anfragen enthalten zwei zusätzliche Header:

• Access-Control-Request-Method: Gibt die Methode der tatsächlichen Anfrage an.
• Access-Control -Request-Headers: Listet die Header auf, die in der tatsächlichen Anfrage enthalten sein werden.

Konfigurieren der Serverantwort

Um Preflight-Anfragen zu verarbeiten, Der Server muss mit den folgenden Headern antworten:

• Access-Control-Allow-Origin: Gewährt dem in der Anfrage angegebenen Ursprung die Berechtigung.
• Access-Control-Allow-Methods: Gibt die für die eigentliche Anfrage zulässigen Methoden an.
• Access-Control-Allow-Headers: Listet die Header auf, die der Browser verwenden darf Senden Sie die eigentliche Anfrage.

Clientseitige Preflight-Implementierung

Damit die Preflight-Anfrage erfolgreich ist, muss der Client die folgenden Änderungen vornehmen:

• Senden Sie eine OPTIONS-Anfrage: Senden Sie vor der eigentlichen Anfrage eine OPTIONS-Anfrage mit den entsprechenden Access-Control-Request-*-Headern.
• Erforderlich einschließen Header: Stellen Sie sicher, dass die tatsächliche Anfrage alle im Access-Control-Allow-Headers-Antwortheader angegebenen Header enthält.

Beispiel:

Erwägen Sie eine Preflight-Anfrage für eine POST-Anfrage zum Abrufen von Daten von einer Remote-URL.

Preflight-Anfrage:

• Ursprung: https://yourdomain.com
• Access-Control-Request-Method: POST
• Access-Control-Request-Headers: X-Custom-Header

Serverantwort (POST vorausgesetzt und X-Custom-Header sind zulässig):

• Access-Control-Allow-Origin: https://yourdomain.com
• Access-Control-Allow-Methods : POST
• Access-Control-Allow-Headers: https://yourdomain.com

X-Custom-Header: Wert

Durch Befolgen dieser Schritte können Sie HTTP-Anfragen effektiv vorab prüfen Überwinden Sie domänenübergreifende Einschränkungen mithilfe von CORS.