CORS

[MarhiievHE]

Здравствуйте. Есть вопрос по заголовкам для cors. Может их вынести в конфиг, чтобы можно было по необходимости удобно изменять под нужды проекта?

[tshemsedinov]

@MarhiievHE нужно привести типичный пример

[MarhiievHE]

@tshemsedinov Не совсем понял что Вы имеете ввиду под примером, но нам же нужно дать возможность пользователям задавать как минимум 'Access-Control-Allow-Origin', для остальных пока не вижу необходимости. Я создавал issues по этому вопросу: metarhia/impress#1687 и pull requests: metarhia/impress#1688 #271

[tshemsedinov]

@MarhiievHE несколько кейсов реального использования, что было нужно в живых проектах

[MarhiievHE]

@tshemsedinov Как минимум это превентивная мера для предотвращения выполнения обращений на стороне клиента в браузере со сторонних ресурсов, для этого cors-ы как бы и существуют?
Допустим мы даем какой-то сервис клиенту через web используя impress, пользователь может быть залогинен в нашу систему и при этом открыть страничку в сети с кодом злоумышленника который хочет выполнить свои действия используя его коннект к апи, в этом случае браузер вначале пошлет на наш импресс запрос с методом OPTIONS и если мы зададим 'Access-Control-Allow-Origin' равным нашему домену например https://domain.com, то браузер получив наши заголовки может в случае совпадения выполнять сам запрос если они не совпали или ответ пришел без этого заголовка, то запрос выполняться не будет при этом клиент увидит у себя ошибку cors. Если придет равным '*' то ограничения cors действовать не будут.
Побочным эффектом от этого может быть ограничения доступа к апи со страничек в сети с отличным от домена указанного в нашем заголовке 'Access-Control-Allow-Origin'.
Но да, если кто то напишет свой клиент для подключения к апи, и получит данные для входа то эти заголовки ни на что влиять не будут.