กำหนดค่า CORS สำหรับไคลเอนต์เบราว์เซอร์

เบราว์เซอร์ปฏิเสธคำขอข้ามต้นทางเป็นค่าเริ่มต้นเพื่อความปลอดภัย นโยบายต้นทางเดียวกัน นี้ป้องกันไม่ให้เว็บไซต์หนึ่งแอบอ่านข้อมูลจากอีกเว็บไซต์

CORS คือชุดส่วนหัวการตอบกลับที่ระบุว่าต้นทางอื่นใดสามารถเรียก API ของคุณได้ เป็นการเปิดทางอย่างตั้งใจ

ต้นทาง ประกอบด้วยโครงร่าง โฮสต์ และพอร์ตรวมกัน พอร์ตที่ต่างกัน หรือการใช้ http แทน https ถือเป็นต้นทางแยกกัน

โดยทั่วไปคุณไม่จำเป็นต้องเขียนส่วนหัวด้วยตนเอง ส่วนขยาย Flask-CORS จะเพิ่มส่วนหัวที่ถูกต้องให้ในทุกการตอบกลับ

การตั้งค่าที่ง่ายที่สุดคือครอบคลุมทั้งแอป การเรียกใช้ CORS(app) จะอนุญาตทุกต้นทาง ซึ่งเหมาะสำหรับช่วงเรียนรู้

ในแอปจริง คุณระบุผู้ที่สามารถเรียกใช้ได้ด้วย origins สิ่งใดก็ตามที่ไม่อยู่ในรายการจะยังคงถูกเบราว์เซอร์บล็อก

คุณสามารถกำหนดขอบเขตของ CORS ให้กับคำนำหน้าเส้นทางด้วย resources ในกรณีนี้จะเปิดให้ผู้เรียกใช้ภายนอกเข้าถึงเฉพาะเนมสเปซ API ของคุณ

เบื้องหลังแล้ว ส่วนสำคัญคือ Access-Control-Allow-Origin เบราว์เซอร์จะอ่านค่านี้เพื่อพิจารณาว่าจะส่งการตอบกลับให้โค้ดของคุณหรือไม่

สำหรับการเรียกใช้บางประเภท เบราว์เซอร์จะส่งคำขอตรวจสอบล่วงหน้าแบบ OPTIONS เพื่อขออนุญาตก่อน Flask-CORS จะตอบคำขอนี้ให้อัตโนมัติ

หากต้องการส่งคุกกี้ข้ามต้นทาง คุณต้องกำหนด supports_credentials โปรดทราบว่าเมื่อทำเช่นนั้นจะไม่สามารถใช้ต้นทางแบบไวลด์การ์ดได้

โปรดจำไว้ว่า CORS มีหน้าที่กำกับเบราว์เซอร์เท่านั้น ไม่ใช่กำแพงรักษาความปลอดภัย ดังนั้น API ของคุณยังต้องมี การยืนยันตัวตน ที่แท้จริง

คุณได้เห็นเหตุผลที่เบราว์เซอร์บล็อกคำขอข้ามต้นทาง เพิ่ม Flask-CORS จำกัดต้นทางและเส้นทาง ทำความรู้จักคำขอตรวจสอบล่วงหน้า และเรียนรู้ว่า CORS ไม่ใช่การยืนยันตัวตนแล้ว ทำได้ดีมาก