CORS configureren voor browserclients

Een browser weigert standaard verzoeken tussen verschillende origins uit veiligheidsoverwegingen. Dit same-originbeleid voorkomt dat de ene website ongemerkt gegevens van een andere leest.

CORS is een reeks antwoordheaders die aangeven welke andere origins je API mogen aanroepen. Het opent de deur bewust.

Een origin bestaat uit het schema, de host en de poort samen. Een andere poort of http tegenover https telt als een afzonderlijke origin.

Je schrijft de headers zelden met de hand. De extensie Flask-CORS voegt bij elk antwoord de juiste headers voor je toe.

De eenvoudigste configuratie omvat de hele app. Met CORS(app) sta je elke origin toe, wat tijdens het leren prima is.

In echte apps geef je met origins aan wie je mag aanroepen. Alles wat niet op de lijst staat, blijft door de browser geblokkeerd.

Je kunt CORS beperken tot een padvoorvoegsel met resources. Hier wordt alleen je API-naamruimte opengesteld voor externe aanroepers.

Onder de motorkap zit de kern in Access-Control-Allow-Origin. De browser leest deze om te bepalen of hij het antwoord aan je code mag doorgeven.

Bij sommige aanroepen stuurt de browser eerst een OPTIONS-preflight om toestemming te vragen. Flask-CORS beantwoordt die automatisch.

Om cookies tussen origins te versturen, moet je supports_credentials instellen. Let op: een wildcard-origin is dan niet meer toegestaan.

Onthoud dat CORS alleen browsers aanstuurt. Het is geen beveiligingsmuur, dus je hebt nog steeds echte authenticatie nodig op je API.

Je hebt gezien waarom browsers aanroepen tussen origins blokkeren, Flask-CORS toegevoegd, origins en routes beperkt, kennisgemaakt met preflight en geleerd dat CORS geen authenticatie is. Goed gedaan!