Konfigurer CORS for nettleserklienter

En nettleser avviser som standard forespørsler på tvers av opphav av sikkerhetshensyn. Denne same-origin policy hindrer ett nettsted i å lese et annet i det skjulte.

CORS er et sett med svarhoder som angir hvilke andre opphav som kan kalle API-et Deres. Det åpner døren med hensikt.

Et opphav består av protokoll, vert og port. En annen port, eller http i stedet for https, regnes som et separat opphav.

De trenger sjelden å skrive svarhodene manuelt. Utvidelsen Flask-CORS legger til de riktige hodene i hvert svar.

Det enkleste oppsettet omfatter hele appen. Kallet CORS(app) tillater alle opphav, noe som er greit mens De lærer.

I virkelige apper angir De hvem som kan kalle API-et, med origins. Alt som ikke står på listen, blokkeres fortsatt av nettleseren.

De kan begrense CORS til et baneprefiks med resources. Her åpnes bare API-navneområdet for eksterne klienter.

Under panseret er det Access-Control-Allow-Origin som gjør jobben. Nettleseren leser det for å avgjøre om svaret skal overleveres til koden Deres.

For enkelte kall sender nettleseren først en OPTIONS-forespørsel for å be om tillatelse. Flask-CORS svarer automatisk på den.

For å sende informasjonskapsler på tvers av opphav må De angi supports_credentials. Merk at et jokertegn som opphav da ikke lenger er tillatt.

Husk at CORS bare veileder nettlesere. Det er ikke en sikkerhetsmur, så API-et Deres trenger fortsatt ekte autentisering.

De så hvorfor nettlesere blokkerer kall på tvers av opphav, la til Flask-CORS, begrenset opphav og ruter, ble kjent med forhåndskontrollerte forespørsler og lærte at CORS ikke er autentisering. Godt gjort!