it-swarm.com.ru

как обойти Access-Control-Allow-Origin?

Я делаю ajax-вызов на свой собственный сервер на платформе, которую они установили, чтобы предотвратить эти ajax-вызовы (но мне нужно получить данные с моего сервера, чтобы отобразить извлеченные данные из базы данных моего сервера) . Мой сценарий ajax во время работы он может отправить данные в php-скрипт моего сервера, чтобы он смог обработать . Однако он не может вернуть обработанные данные, так как он заблокирован "Access-Control-Allow-Origin"

У меня нет доступа к источнику/ядру этой платформы. поэтому я не могу удалить сценарий, который запрещает мне делать это . (P/S Я использовал консоль Google Chrome и обнаружил эту ошибку)

Код Ajax, как показано ниже:

 $.ajax({
     type: "GET",
     url: "http://example.com/retrieve.php",
     data: "id=" + id + "&url=" + url,
     dataType: 'json',   
     cache: false,
     success: function(data)
      {
        var friend = data[1];              
        var blog = data[2];           
        $('#user').html("<b>Friends: </b>"+friend+"<b><br> Blogs: </b>"+blog);

      } 
  });

или есть JSON эквивалентный код сценарию ajax выше? Я думаю, что JSON разрешен.

Я надеюсь, что кто-то может мне помочь.

172
ETAN

Поместите это поверх retrieve.php:

header('Access-Control-Allow-Origin: *');  

Обратите внимание, что это эффективно отключает защиту CORS и оставляет ваших пользователей уязвимыми для атак. Если вы не совсем уверены, что вам нужно разрешить все происхождение, вы должны зафиксировать это для более конкретного источника:

header('Access-Control-Allow-Origin: https://www.example.com')
336
Rafay

Хорошо, но вы все знаете, что * является подстановочным знаком и позволяет выполнять межсайтовый скриптинг для каждого домена?

Вы хотели бы отправлять несколько заголовков Access-Control-Allow-Origin для каждого сайта, который разрешен, но, к сожалению, официально он не поддерживается для отправки нескольких заголовков Access-Control-Allow-Origin или для размещения нескольких источников.

Вы можете решить это, проверив Origin и отправив его обратно в заголовок, если это разрешено:

$Origin = $_SERVER['HTTP_Origin'];
$allowed_domains = [
    'http://mysite1.com',
    'https://www.mysite2.com',
    'http://www.mysite2.com',
];

if (in_array($Origin, $allowed_domains)) {
    header('Access-Control-Allow-Origin: ' . $Origin);
}

Это намного безопаснее. Вы можете отредактировать соответствие и изменить его на ручную функцию с некоторым регулярным выражением или чем-то в этом роде. По крайней мере, это отправит только 1 заголовок, и вы будете уверены, что это тот, из которого пришел запрос. Обратите внимание, что все заголовки HTTP могут быть подделаны, но этот заголовок защищает клиента. Не защищайте свои собственные данные этими значениями. Если вы хотите узнать больше, прочитайте немного о CORS и CSRF.

Почему это безопаснее?

Если разрешить доступ из других мест, то ваш собственный доверенный сайт позволяет перехватывать сессии. Я собираюсь привести небольшой пример - изображение Facebook разрешает использовать подстановочный знак Origin - это означает, что вы можете создать свой собственный сайт где-нибудь и заставить его AJAX вызывать (или открывать фреймы) Facebook. Это означает, что вы можете получить информацию о посетителе вашего сайта в Facebook. Еще хуже - вы можете создавать сценарии запросов POST и публиковать данные на чьем-то Facebook - только когда они просматривают ваш сайт.

Будьте очень осторожны при использовании заголовков ACAO!

268
Rob Quist

Предупреждение , Chrome (и другие браузеры) будет жаловаться, что установлено несколько заголовков ACAO, если вы будете следовать некоторым другим ответам.

Ошибка будет что-то вродеXMLHttpRequest cannot load ____. The 'Access-Control-Allow-Origin' header contains multiple values '____, ____, ____', but only one is allowed. Origin '____' is therefore not allowed access.

Попробуй это:

$http_Origin = $_SERVER['HTTP_Origin'];

$allowed_domains = array(
  'http://domain1.com',
  'http://domain2.com',
);

if (in_array($http_Origin, $allowed_domains))
{  
    header("Access-Control-Allow-Origin: $http_Origin");
}
28
user3638471

Я исправил эту проблему при вызове контроллера MVC3 . Я добавил:

Response.AddHeader("Access-Control-Allow-Origin", "*"); 

до моего

return Json(model, JsonRequestBehavior.AllowGet);

А также мой $.ajax жаловался на то, что он не принимает Content-type header в моем вызове ajax, поэтому я закомментировал его, поскольку знаю, что его JSON передается в Action.

Надеюсь, это поможет.

7
Atif Rehman

лучше всего было бы разрешить отдельные домены, будьте осторожны с http: //:

     header('Access-Control-Allow-Origin: http://www.foo.com', false);
     header('Access-Control-Allow-Origin: http://www.foo2.com', false));
5
Sebastian Viereck

Вы пытались добавить заголовок Access-Control-Allow-Origin к ответу, отправленному с вашего сервера? Как, Access-Control-Allow-Origin: *?

2
Daniel Brockman

Это действительно плохая идея использовать *, который оставляет вас широко открытыми для межсайтового скриптинга. По сути, вам все время нужен собственный домен, ограниченный вашими текущими настройками SSL и, возможно, дополнительными доменами. Вы также хотите, чтобы они были отправлены одним заголовком. Следующее всегда авторизует ваш собственный домен в той же области действия SSL, что и текущая страница, и может также включать любое количество дополнительных доменов. Он отправит их все в виде одного заголовка и перезапишет предыдущие (ие), если что-то еще уже отправлено им, чтобы избежать каких-либо шансов, что браузер ворчит по поводу отправляемых заголовков с несколькими элементами управления доступом.

class CorsAccessControl
{
    private $allowed = array();

    /**
     * Always adds your own domain with the current ssl settings.
     */
    public function __construct()
    {
        // Add your own domain, with respect to the current SSL settings.
        $this->allowed[] = 'http'
            . ( ( array_key_exists( 'HTTPS', $_SERVER )
                && $_SERVER['HTTPS'] 
                && strtolower( $_SERVER['HTTPS'] ) !== 'off' ) 
                    ? 's' 
                    : null )
            . '://' . $_SERVER['HTTP_Host'];
    }

    /**
     * Optionally add additional domains. Each is only added one time.
     */
    public function add($domain)
    {
        if ( !in_array( $domain, $this->allowed )
        {
            $this->allowed[] = $domain;
        }
    /**
     * Send 'em all as one header so no browsers grumble about it.
     */
    public function send()
    {
        $domains = implode( ', ', $this->allowed );
        header( 'Access-Control-Allow-Origin: ' . $domains, true ); // We want to send them all as one shot, so replace should be true here.
    }
}

Использование:

$cors = new CorsAccessControl();

// If you are only authorizing your own domain:
$cors->send();

// If you are authorizing multiple domains:
foreach ($domains as $domain)
{
    $cors->add($domain);
}
$cors->send();

Вы поняли идею.

0
mopsyd