CORS mit POSTMAN

Dieses Thema wurde ein paar Mal gefragt, aber ich verstehe immer noch nichts:

Wenn ich Antworten über lese

Kein 'Access-Control-Allow-Origin'-Header

Problem, es heißt, dass eine Einstellung auf dem angeforderten Server festgelegt werden sollte, um domänenübergreifend zu ermöglichen : add_header 'Access-Control-Allow-Origin' '*';.

Aber bitte sagen Sie mir, warum es auf Nachfrage des Postboten (der ein Kunde ist) wie ein Zauber funktioniert und ich eine Antwort vom angeforderten Server habe.

Vielen Dank

Wie @Musa es kommentiert, scheint der Grund der folgende zu sein:

Postman kümmert sich nicht um SOP, es ist ein Entwickler-Tool, kein Browser

Übrigens, hier ist eine Chrome-Erweiterung , damit sie in Ihrem Browser funktioniert (diese ist für Chrome, aber Sie können sie entweder für FF oder Safari finden).

Überprüfen Sie hier, ob Sie mehr über Cross-Origin erfahren möchten und warum es für Erweiterungen funktioniert.

Wenn Sie eine Website verwenden und ein Formular zum Übermitteln von Informationen ausfüllen (z. B. Ihre Sozialversicherungsnummer), möchten Sie sicher sein, dass die Informationen an die Website gesendet werden, an die sie Ihrer Meinung nach gesendet werden. Daher wurden Browser so eingerichtet, dass sie standardmäßig sagen: "Senden Sie keine Informationen an eine andere Domain als die besuchte Domain."

Irgendwann wurde das zu einschränkend, aber die Standardidee bleibt in den Browsern. Lassen Sie die Webseite keine Informationen an eine andere Domain senden. Dies ist jedoch alles Browser-Überprüfung. Chrome, Firefox usw. haben einen Code integriert, der besagt: "Bevor Sie diese Anfrage senden, überprüfen Sie, ob das Ziel mit der besuchten Seite übereinstimmt."

Bei Postman (oder CURL in der cmd-Zeile) sind diese Schecks nicht integriert. Sie interagieren manuell mit einer Site, sodass Sie die volle Kontrolle darüber haben, was Sie senden.

CORS(Cross-Origin Resource Sharing) und SOP(Same-Origin Policy) sind serverseitige Konfigurationen, die Clients durchsetzen möchten oder nicht .

Bezogen auf Kunden

• Die meisten Browser erzwingen dies, um Probleme im Zusammenhang mit CSRFAngriffen zu vermeiden .
• Die meisten Entwicklungstools kümmern sich nicht darum .

Alle Antworten hier sind zwar eine wirklich gute Erklärung dafür, was cors ist, aber die direkte Antwort auf Ihre Frage wäre aufgrund der folgenden Unterschiede zwischen Postbote und Browser.

Browser: Sendet einen OPTIONSAnruf, um den Servertyp zu überprüfen und die Header abzurufen, bevor eine neue Anforderung an den API-Endpunkt gesendet wird. Wo es prüft Access-Control-Allow-Origin. Wenn Sie dies berücksichtigen, Access-Control-Allow-Origingibt der Header nur an, welche CROSS ORIGINS zulässig sind, obwohl der Browser standardmäßig nur denselben Ursprung zulässt.

Postman: Sendet direkte GET, POST, PUT, DELETEusw. Anfrage , ohne zu überprüfen , welche Art von Server ist und immer den Header Access-Control-Allow-Originmit Hilfe OPTIONSAufruf an den Server.

Im Allgemeinen wird Postman zum Debuggen und in der Entwicklungsphase verwendet. Aber falls Sie es sogar vom Postboten blockieren möchten, versuchen Sie dies.

    const referrer_domain = "[enter-the-domain-name-of-the-referrer]"
    //check for the referrer domain
    app.all('/*', function(req, res, next) {
      if(req.headers.referer.indexOf(referrer_domain) == -1){
        res.send('Invalid Request')
      }

      next();
    });

Verwenden Sie das Browser / Chrome Postman Plugin, um die CORS / SOP wie eine Website zu überprüfen. Verwenden Sie stattdessen eine Desktop-Anwendung, um diese Steuerelemente zu vermeiden.