CORS กับ POSTMAN

มีการถามเรื่องนี้สองสามครั้ง แต่ฉันยังไม่เข้าใจบางอย่าง:

เมื่อฉันอ่านคำตอบเกี่ยวกับ

ไม่มีส่วนหัว "Access-Control-Allow-Origin"

add_header 'Access-Control-Allow-Origin' '*';ปัญหาก็กล่าวว่าการตั้งค่าที่ควรจะตั้งบนเซิร์ฟเวอร์ที่ร้องขอเพื่อให้ข้ามโดเมน:

แต่ช่วยบอกหน่อยว่าทำไมเวลาถามจากบุรุษไปรษณีย์ (ซึ่งเป็นลูกค้า) มันใช้งานได้ดีและฉันได้รับคำตอบจากเซิร์ฟเวอร์ที่ร้องขอ

ขอขอบคุณ

ตามที่ @Musa แสดงความคิดเห็นดูเหมือนว่าเหตุผลคือ:

บุรุษไปรษณีย์ไม่สนใจ SOP แต่เป็นเครื่องมือพัฒนาไม่ใช่เบราว์เซอร์

อย่างไรก็ตามนี่คือส่วนขยายของ Chromeเพื่อให้สามารถใช้งานได้บนเบราว์เซอร์ของคุณ (อันนี้ใช้สำหรับ chrome แต่คุณสามารถค้นหา FF หรือ Safari ได้)

ตรวจสอบที่นี่หากคุณต้องการเรียนรู้เพิ่มเติมเกี่ยวกับCross-Originและเหตุใดจึงใช้งานได้กับส่วนขยาย

หากคุณใช้เว็บไซต์และกรอกแบบฟอร์มเพื่อส่งข้อมูล (เช่นหมายเลขประกันสังคมของคุณ) คุณต้องแน่ใจว่าข้อมูลถูกส่งไปยังไซต์ที่คุณคิดว่าถูกส่งไป ดังนั้นเบราว์เซอร์จึงถูกสร้างขึ้นเพื่อบอกว่า "อย่าส่งข้อมูลไปยังโดเมนอื่นที่ไม่ใช่โดเมนที่กำลังเยี่ยมชม)

ในที่สุดสิ่งนั้นก็ จำกัด เกินไป แต่แนวคิดเริ่มต้นยังคงอยู่ในเบราว์เซอร์ อย่าปล่อยให้หน้าเว็บส่งข้อมูลไปยังโดเมนอื่น แต่นี่คือการตรวจสอบเบราว์เซอร์ทั้งหมด Chrome และ firefox ฯลฯ มีโค้ดในตัวที่ระบุว่า 'ก่อนส่งคำขอนี้เราจะตรวจสอบว่าปลายทางตรงกับหน้าที่กำลังเข้าชม'

บุรุษไปรษณีย์ (หรือ CURL ในบรรทัด cmd) ไม่มีเช็คในตัว คุณกำลังโต้ตอบกับไซต์ด้วยตนเองดังนั้นคุณจึงสามารถควบคุมสิ่งที่คุณส่งได้อย่างเต็มที่

CORS(ทรัพยากรข้ามแหล่งที่ใช้ร่วมกัน) และSOP(แหล่งกำเนิดเดียวกันนโยบาย) การกำหนดค่าฝั่งเซิร์ฟเวอร์ที่ลูกค้าตัดสินใจที่จะบังคับใช้หรือไม่

ที่เกี่ยวข้องกับลูกค้า

• เบราว์เซอร์ ส่วนใหญ่บังคับใช้เพื่อป้องกันปัญหาที่เกี่ยวข้องกับการCSRFโจมตี
• เครื่องมือการพัฒนา ส่วนใหญ่ไม่สนใจมัน

แม้ว่าคำตอบทั้งหมดที่นี่จะเป็นคำอธิบายที่ดีจริงๆว่า cors คืออะไร แต่คำตอบโดยตรงสำหรับคำถามของคุณอาจเป็นเพราะบุรุษไปรษณีย์และเบราว์เซอร์ที่แตกต่างกันดังต่อไปนี้

เบราว์เซอร์: ส่งการOPTIONSโทรเพื่อตรวจสอบประเภทเซิร์ฟเวอร์และรับส่วนหัวก่อนที่จะส่งคำขอใหม่ไปยังปลายทาง API Access-Control-Allow-Originไหนจะตรวจสอบ โดยคำนึงถึงAccess-Control-Allow-Originส่วนหัวนี้เพียงแค่ระบุว่า CROSS ORIGINS ใดที่ได้รับอนุญาตแม้ว่าโดยค่าเริ่มต้นเบราว์เซอร์จะอนุญาตให้ใช้แหล่งกำเนิดเดียวกันเท่านั้น

บุรุษไปรษณีย์: ส่งโดยตรงGET, POST, PUT, DELETEคำขอ ฯลฯ โดยไม่ต้องตรวจสอบสิ่งที่ประเภทของเซิร์ฟเวอร์และได้รับส่วนหัวAccess-Control-Allow-Originโดยใช้OPTIONSการโทรไปยังเซิร์ฟเวอร์

โดยทั่วไปแล้วบุรุษไปรษณีย์ใช้สำหรับการดีบักและใช้ในขั้นตอนการพัฒนา แต่ในกรณีที่คุณต้องการบล็อกแม้กระทั่งจากบุรุษไปรษณีย์ลองทำเช่นนี้

    const referrer_domain = "[enter-the-domain-name-of-the-referrer]"
    //check for the referrer domain
    app.all('/*', function(req, res, next) {
      if(req.headers.referer.indexOf(referrer_domain) == -1){
        res.send('Invalid Request')
      }

      next();
    });

ใช้เบราว์เซอร์ / ปลั๊กอินบุรุษไปรษณีย์ chrome เพื่อตรวจสอบ CORS / SOP เหมือนเว็บไซต์ ใช้แอปพลิเคชันเดสก์ท็อปแทนเพื่อหลีกเลี่ยงการควบคุมเหล่านี้