Configurare CORS per i client browser

Per motivi di sicurezza, per impostazione predefinita un browser rifiuta le richieste cross-origin. Questa same-origin policy impedisce a un sito di leggere silenziosamente i dati di un altro.

CORS è un insieme di intestazioni della risposta che indicano quali altre origini possono chiamare la Sua API. Apre intenzionalmente la porta.

Un'origin è l'insieme di schema, host e porta. Una porta diversa, oppure http invece di https, costituisce un'origine separata.

Raramente è necessario scrivere manualmente le intestazioni. L'estensione Flask-CORS aggiunge quelle corrette a ogni risposta.

La configurazione più semplice avvolge l'intera app. La chiamata CORS(app) consente qualsiasi origine, il che va bene durante l'apprendimento.

Nelle applicazioni reali, indichi chi può effettuare chiamate usando origins. Tutto ciò che non è nell'elenco viene comunque bloccato dal browser.

Può applicare CORS a un prefisso di percorso tramite resources. In questo modo solo il namespace della Sua API viene aperto ai chiamanti esterni.

Dietro le quinte, l'elemento essenziale è Access-Control-Allow-Origin. Il browser lo legge per decidere se consegnare la risposta al Suo codice.

Per alcune chiamate, il browser invia prima un preflight OPTIONS per chiedere il permesso. Flask-CORS risponde automaticamente.

Per inviare cookie cross-origin deve impostare supports_credentials. Tenga presente che in questo caso non è più consentita un'origine wildcard.

Ricordi che CORS fornisce indicazioni solo ai browser. Non è una barriera di sicurezza, quindi la Sua API ha comunque bisogno di una vera autenticazione.

Ha visto perché i browser bloccano le chiamate cross-origin, aggiunto Flask-CORS, limitato origini e route, conosciuto il preflight e imparato che CORS non è autenticazione. Ben fatto!