브라우저 클라이언트를 위한 CORS 구성

브라우저는 안전을 위해 기본적으로 출처가 다른 요청을 거부합니다. 이 동일 출처 정책은 한 사이트가 다른 사이트의 내용을 몰래 읽지 못하게 합니다.

CORS는 어떤 다른 출처가 API를 호출할 수 있는지 지정하는 응답 헤더 집합입니다. 의도적으로 문을 열어 주는 기능입니다.

출처는 스킴, 호스트, 포트를 합친 것입니다. 포트가 다르거나 http와 https가 다르면 별도의 출처로 간주됩니다.

헤더를 직접 작성하는 경우는 드뭅니다. Flask-CORS 확장이 모든 응답에 필요한 헤더를 대신 추가합니다.

가장 간단한 설정은 앱 전체를 감싸는 것입니다. CORS(app)를 호출하면 모든 출처를 허용하며, 학습 중에는 괜찮습니다.

실제 앱에서는 origins를 사용해 호출을 허용할 대상을 지정합니다. 목록에 없는 대상은 브라우저가 계속 차단합니다.

resources를 사용해 경로 접두사에 CORS 범위를 지정할 수 있습니다. 여기서는 API 네임스페이스만 외부 호출자에게 개방됩니다.

내부적으로 핵심 역할을 하는 것은 Access-Control-Allow-Origin입니다. 브라우저는 이 값을 읽고 응답을 코드에 전달할지 결정합니다.

일부 호출에서는 브라우저가 먼저 OPTIONS 사전 요청을 보내 권한을 묻습니다. Flask-CORS가 이를 자동으로 처리합니다.

출처가 다른 요청에 쿠키를 보내려면 supports_credentials를 설정해야 합니다. 이 경우 와일드카드 출처는 더 이상 허용되지 않습니다.

CORS는 브라우저의 동작만 안내한다는 점을 기억하십시오. 보안 장벽이 아니므로 API에는 실제 인증이 여전히 필요합니다.

브라우저가 출처가 다른 호출을 차단하는 이유를 살펴보고, Flask-CORS를 추가했으며, 출처와 경로를 제한하고, 사전 요청을 알아보고, CORS가 인증이 아니라는 점을 배웠습니다. 잘하셨습니다!