CORS Έλεγχος

Κατανόηση της πολιτικής Cross-Origin Resource Sharing (CORS)

Η πολιτική Cross-Origin Resource Sharing (CORS) αποτελεί έναν κρίσιμο μηχανισμό ασφαλείας που εφαρμόζεται από τα προγράμματα περιήγησης ιστού για τον περιορισμό των αιτημάτων HTTP μεταξύ διαφορετικών προελεύσεων. Όταν ένας ιστότοπος προσπαθεί να ζητήσει πόρους από έναν διαφορετικό τομέα, πρωτόκολλο ή θύρα, το πρόγραμμα περιήγησης αξιολογεί τις κεφαλίδες απόκρισης HTTP του διακομιστή για να καθορίσει εάν θα επιτρέψει την ανάγνωση αυτών των δεδομένων από τον κώδικα της εφαρμογής.

Το εργαλείο CORS Έλεγχος βοηθά στην κατανόηση του αν ένα πρόγραμμα περιήγησης θα επέτρεπε ένα συγκεκριμένο αίτημα cross-origin με βάση τις κεφαλίδες απόκρισης HTTP που παρέχετε και τις λεπτομέρειες του αιτήματός σας. Η ανάλυση αυτή είναι απαραίτητη για προγραμματιστές front-end, back-end, πλατφορμών API και operations, καθώς και για οποιονδήποτε προσπαθεί να επαληθεύσει αν ο κώδικας του προγράμματος περιήγησης μπορεί να διαβάσει μια συγκεκριμένη απάντηση ή αν μια απάντηση OPTIONS εγκρίνει μια μεταγενέστερη μέθοδο και τα ζητούμενα ονόματα κεφαλίδων.

Παράμετροι εισαγωγής δεδομένων για τον έλεγχο

Για να πραγματοποιηθεί ο έλεγχος, το εργαλείο απαιτεί τη συμπλήρωση συγκεκριμένων πεδίων εισαγωγής, τα οποία αντιστοιχούν στις παραμέτρους του αιτήματος και της απόκρισης:

• Απάντηση στον έλεγχο: Μια επιλογή μεταξύ των τιμών "Πραγματική απάντηση" ή "Απόκριση πριν από την πτήση".
• Κεφαλίδες απόκρισης HTTP: Εισαγωγή κειμένου για τις κεφαλίδες απόκρισης HTTP, συμπεριλαμβανομένης της γραμμής κατάστασης για τις αποκρίσεις preflight. Το μέγιστο επιτρεπόμενο μέγεθος είναι 200.000 χαρακτήρες. Εάν το πεδίο είναι κενό, εμφανίζεται το σφάλμα "Επικολλήστε τις κεφαλίδες απόκρισης HTTP πριν από τον έλεγχο.". Εάν το μέγεθος ξεπεραστεί, εμφανίζεται το σφάλμα "Αυτή η απόκριση είναι ασυνήθιστα μεγάλη. Διατηρήστε το κάτω από χαρακτήρες ‹max›.". Εάν εντοπιστεί μη έγκυρη γραμμή, εμφανίζεται το σφάλμα "Η γραμμή ‹line› δεν είναι έγκυρη κεφαλίδα HTTP ή γραμμή κατάστασης." ή "Η γραμμή ‹line› περιέχει ένα μη έγκυρο όνομα κεφαλίδας HTTP.".
• Αίτημα προέλευσης: Το σχήμα, ο κεντρικός υπολογιστής και η προαιρετική θύρα της προέλευσης (π.χ. https://app.example.com). Πρέπει να εισαχθεί καθαρή προέλευση ή null, χωρίς διαδρομή URL, ερωτηματικά ή διαπιστευτήρια. Σε αντίθετη περίπτωση, εμφανίζεται το σφάλμα "Εισαγάγετε μια προέλευση με μόνο ένα σχήμα, κεντρικό υπολογιστή και προαιρετική θύρα, όπως https://app.example.com.".
• Ζητούμενη μέθοδος: Η μέθοδος HTTP του αιτήματος. Εάν η μέθοδος δεν είναι έγκυρη, εμφανίζεται το σφάλμα "Εισαγάγετε ένα έγκυρο διακριτικό μεθόδου HTTP.". Εάν η μέθοδος είναι απαγορευμένη, εμφανίζεται το σφάλμα "Τα προγράμματα περιήγησης δεν επιτρέπουν τη μέθοδο ‹method› σε αιτήματα fetch.".
• Ζητήθηκαν ονόματα κεφαλίδων: Τα ονόματα των κεφαλίδων από το πεδίο Access-Control-Request-Headers, διαχωρισμένα με κόμμα ή αλλαγή γραμμής (π.χ. Content-Type, Authorization). Εάν εισαχθεί μη έγκυρο όνομα, εμφανίζεται το σφάλμα "Το "‹header›" δεν είναι έγκυρο όνομα κεφαλίδας αιτήματος HTTP.".
• Συμπεριλάβετε τα διαπιστευτήρια: Επιλογή (toggle) που υποδεικνύει εάν το αίτημα περιλαμβάνει cookie ή έλεγχο ταυτότητας HTTP.

Σε περίπτωση γενικών προβλημάτων με τα δεδομένα εισαγωγής, εμφανίζεται το μήνυμα "Διορθώστε την επισημασμένη είσοδο και δοκιμάστε ξανά.".

Αποφάσεις του προγράμματος περιήγησης και ερμηνεία

Μετά την επεξεργασία των στοιχείων, το εργαλείο εμφανίζει την απόφαση του προγράμματος περιήγησης στην ενότητα "Απόφαση προγράμματος περιήγησης". Οι πιθανές καταστάσεις εξόδου είναι οι εξής:

• "Επικολλήστε μια απάντηση για να ελέγξετε την πολιτική CORS." (αρχική κατάσταση).
• "Εισαγάγετε μια απάντηση και λεπτομέρειες αιτήματος και, στη συνέχεια, ελέγξτε την πολιτική CORS." (όταν δεν υπάρχει είσοδος).
• "Επιτρέπεται από την επικολλημένη απόκριση CORS.".
• "Αποκλείστηκε από την επικολλημένη απόκριση CORS.".
• "Οι επικεφαλίδες περνούν, αλλά η κατάσταση πριν από την πτήση είναι άγνωστη.".

Παράλληλα, εμφανίζονται τα "Αναλυμένα πεδία Access-Control" (ή η ένδειξη "Δεν υπάρχει" αν λείπουν) και οι συγκεκριμένοι λόγοι που οδήγησαν στην απόφαση.

Κανόνες αξιολόγησης και ειδικές περιπτώσεις

Η συμπεριφορά του CORS καθορίζεται από αυστηρούς κανόνες ανάλογα με την παρουσία διαπιστευτηρίων και τη χρήση ειδικών χαρακτήρων:

Η επίδραση των διαπιστευτηρίων (Credentials)

Όταν περιλαμβάνονται διαπιστευτήρια (cookies ή HTTP authentication), ισχύουν οι εξής περιορισμοί:

1. Η κεφαλίδα Access-Control-Allow-Origin δεν μπορεί να έχει την τιμή μπαλαντέρ *. Αν έχει αυτή την τιμή, εμφανίζεται η αιτιολογία "Το Access-Control-Allow-Origin δεν μπορεί να είναι * όταν περιλαμβάνονται τα διαπιστευτήρια.".
2. Οι χαρακτήρες μπαλαντέρ (*) στις κεφαλίδες Access-Control-Allow-Methods και Access-Control-Allow-Headers χάνουν τη σημασία του μπαλαντέρ και αντιμετωπίζονται ως απλά λεκτικά.
3. Η κεφαλίδα Access-Control-Allow-Credentials πρέπει να είναι ακριβώς true. Αν λείπει ή έχει άλλη τιμή, το αίτημα αποκλείεται με την αιτιολογία "Ένα αίτημα με διαπιστευτήρια χρειάζεται Access-Control-Allow-Credentials: αληθές.".

Αν δεν περιλαμβάνονται διαπιστευτήρια, η κεφαλίδα Access-Control-Allow-Credentials δεν επηρεάζει την απόφαση ("Τα διαπιστευτήρια δεν περιλαμβάνονται, επομένως το Access-Control-Allow-Credentials δεν επηρεάζει αυτήν την απόφαση.").

Έλεγχος προέλευσης (Origin)

Η κεφαλίδα Access-Control-Allow-Origin πρέπει να ταιριάζει ακριβώς με την προέλευση του αιτήματος. Εάν η κεφαλίδα περιέχει πολλαπλές τιμές ή είναι διαχωρισμένη με κόμματα, θεωρείται μη έγκυρη ("Το Access-Control-Allow-Origin έχει μη έγκυρη τιμή: ‹value›.").

Διαχείριση της κεφαλίδας Authorization

Η κεφαλίδα Authorization αποτελεί ειδική περίπτωση. Πρέπει να δηλώνεται ρητά στην κεφαλίδα Access-Control-Allow-Headers, καθώς η χρήση του μπαλαντέρ Access-Control-Allow-Headers: * δεν την καλύπτει, ακόμη και όταν το αίτημα δεν περιλαμβάνει διαπιστευτήρια. Σε αντίθετη περίπτωση, εμφανίζεται η αιτιολογία "Το Authorization πρέπει να αναφέρεται ρητά. Access-Control-Allow-Headers: Το * δεν το καλύπτει.".

Αποκρίσεις Preflight (Πριν από την πτήση)

Για τις αποκρίσεις preflight, η ύπαρξη έγκυρης γραμμής κατάστασης HTTP είναι απαραίτητη. Εάν δεν επικολληθεί γραμμή κατάστασης, η κατάσταση 2xx δεν μπορεί να επαληθευτεί και το αποτέλεσμα χαρακτηρίζεται ως "indeterminate" με την αιτιολογία "Δεν επικολλήθηκε γραμμή κατάστασης HTTP, επομένως δεν είναι δυνατός ο έλεγχος της απαιτούμενης κατάστασης πριν από την πτήση 2xx.".

Περιορισμοί της προσομοίωσης και προστασία δεδομένων

Η επεξεργασία των δεδομένων εκτελείται τοπικά. Οι κεφαλίδες και οι λεπτομέρειες των αιτημάτων παραμένουν αποκλειστικά στο πρόγραμμα περιήγησής σας και τίποτα δεν μεταφορτώνεται ούτε αποθηκεύεται από το BroBroGo.

Η αξιολόγηση βασίζεται αποκλειστικά στις κεφαλίδες και τις παραμέτρους που εισάγονται χειροκίνητα. Το εργαλείο δεν πραγματοποιεί εξωτερικές συνδέσεις με διακομιστές, δεν διαβάζει διευθύνσεις URL, δεν αποστέλλει cookies, δεν εκτελεί ελέγχους DNS/TLS και δεν τροποποιεί τις ρυθμίσεις κάποιου διακομιστή. Ένα επιτυχές αποτέλεσμα επιβεβαιώνει μόνο τη συμβατότητα των συγκεκριμένων δεδομένων με τους κανόνες CORS και δεν εγγυάται τη λειτουργία σε πραγματικές συνθήκες, καθώς δεν μπορεί να προβλέψει ανακατευθύνσεις, προσωρινά αποθηκευμένες αποκρίσεις (cache), αλλαγές στους κανόνες του διακομιστή, παρεμβολές από επεκτάσεις του προγράμματος περιήγησης ή την τελική απόκριση μετά από ένα preflight αίτημα.

Συχνές Ερωτήσεις (FAQ)

Πρέπει να επικολλήσω την πραγματική απάντηση ή την απάντηση πριν από την πτήση;
Χρησιμοποιήστε την Πραγματική απάντηση για να ελέγξετε εάν ο κώδικας του προγράμματος περιήγησης μπορεί να διαβάσει μία απάντηση. Χρησιμοποιήστε την απάντηση πριν από την πτήση για την απάντηση OPTIONS που εγκρίνει μια μεταγενέστερη μέθοδο και τα ονόματα κεφαλίδων που ζητήθηκαν.

Γιατί μπορεί ένας μπαλαντέρ να αποτύχει με διαπιστευτήρια;
Όταν περιλαμβάνονται cookie ή έλεγχος ταυτότητας HTTP, η επιτρεπόμενη προέλευση πρέπει να ταιριάζει ακριβώς με την προέλευση του αιτήματος. Οι χαρακτήρες μπαλαντέρ για τις επιτρεπόμενες μεθόδους και οι κεφαλίδες χάνουν επίσης το νόημα του χαρακτήρα μπαλαντέρ.

Ένα επιτυχές αποτέλεσμα αποδεικνύει ότι το ζωντανό αίτημα θα λειτουργήσει;
Όχι. Αυτό το αποτέλεσμα καλύπτει μόνο την επικολλημένη απάντηση και τα στοιχεία του αιτήματος που εισάγονται εδώ. Οι ανακατευθύνσεις, οι αποθηκευμένες αποκρίσεις, η αλλαγή κανόνων διακομιστή, οι επεκτάσεις του προγράμματος περιήγησης και η πραγματική απόκριση μετά από μια προκαταρκτική πτήση μπορούν να αλλάξουν το αποτέλεσμα.