CORS: comprender la solicitud de 'verificación previa' para solicitudes entre dominios

El intercambio de recursos entre orígenes (CORS) plantea desafíos al crear HTTP solicitudes entre dominios. Para abordar estas limitaciones, se han introducido solicitudes de verificación previa como solución alternativa.

Solicitud de verificación previa explicada

Las solicitudes de verificación previa son solicitudes de OPCIONES que preceden a las solicitudes reales (como GET o POST ) y sirven para negociar con el servidor los permisos de la solicitud. Estas solicitudes incluyen dos encabezados adicionales:

• Access-Control-Request-Method: Especifica el método de la solicitud real.
• Access-Control -Request-Headers: Enumera los encabezados que se incluirán en la solicitud real.

Configuración de la respuesta del servidor

Para manejar solicitudes de verificación previa, el servidor debe responder con los siguientes encabezados:

• Access-Control-Allow-Origin: Otorga permiso al origen especificado en la solicitud.
• Access-Control-Allow-Methods: Especifica los métodos permitidos para la solicitud real.
• Access-Control-Allow-Headers: Enumera los encabezados que el navegador tiene permitido envíe la solicitud real.

Implementación de verificación previa del lado del cliente

Para que la solicitud de verificación previa sea exitosa, el cliente debe incluir las siguientes modificaciones:

• Enviar una solicitud de OPCIONES: Antes de la solicitud real, envíe una solicitud de OPCIONES con los encabezados Access-Control-Request-* apropiados.
• Incluir lo necesario encabezados: Asegúrese de que la solicitud real contenga todos los encabezados especificados en el encabezado de respuesta Access-Control-Allow-Headers.

Ejemplo:

Considere una solicitud de verificación previa para una solicitud POST para obtener datos de una URL remota.

Solicitud de verificación previa:

• Origen: https://sudominio.com
• Método de solicitud de control de acceso: POST
• Encabezados de solicitud de control de acceso: encabezado personalizado X

Respuesta del servidor (asumiendo POST y X-Custom-Header están permitidos):

• Access-Control-Allow-Origin: https://yourdomain.com
• Access-Control-Allow-Methods : POST
• Access-Control-Allow-Headers: X-Custom-Header

Solicitud real:

• Origen: https://tudominio.com
• Método: POST
• X-Custom-Header: valor

Si sigue estos pasos, puede realizar una verificación previa efectiva de las solicitudes HTTP para supere las limitaciones entre dominios utilizando CORS.