CORS z POSTMAN

O ten temat zadawano kilka razy, ale nadal czegoś nie rozumiem:

Kiedy czytam odpowiedzi o

Brak nagłówka „Access-Control-Allow-Origin”

kwestia, to mówi ustawienie powinno być ustawione na żądanym serwerem w celu umożliwienia domenę poprzeczny: add_header 'Access-Control-Allow-Origin' '*';.

Ale proszę powiedz mi, dlaczego, pytając listonosza (który jest klientem), działa jak urok i mam odpowiedź z żądanego serwera?

Dziękuję Ci

Jak komentuje @Musa, wydaje się, że powodem jest to, że:

Postman nie dba o SOP, to narzędzie programistyczne, a nie przeglądarka

Nawiasem mówiąc, tutaj jest rozszerzenie do Chrome , aby działało w Twojej przeglądarce (to jest dla Chrome, ale możesz znaleźć albo FF lub Safari).

Sprawdź tutaj, jeśli chcesz dowiedzieć się więcej o Cross-Origin i dlaczego to działa dla rozszerzeń.

Jeśli korzystasz z witryny internetowej i wypełniasz formularz w celu przesłania informacji (na przykład numeru ubezpieczenia społecznego), chcesz mieć pewność, że informacje są wysyłane do witryny, do której Twoim zdaniem są wysyłane. Dlatego przeglądarki zostały zbudowane tak, aby domyślnie mówić: „Nie wysyłaj informacji do domeny innej niż odwiedzana domena).

Ostatecznie stało się to zbyt ograniczające, ale domyślny pomysł nadal pozostaje w przeglądarkach. Nie pozwól, aby strona internetowa wysyłała informacje do innej domeny. Ale to wszystko jest sprawdzaniem przeglądarki. Chrome i Firefox itp. Mają wbudowany kod, który mówi: „Przed wysłaniem tego żądania sprawdzimy, czy miejsce docelowe odpowiada odwiedzanej stronie”.

Postman (lub CURL w linii cmd) nie ma tych wbudowanych kontroli. Ręcznie wchodzisz w interakcję z witryną, więc masz pełną kontrolę nad tym, co wysyłasz.

CORS(Współdzielenie zasobów między źródłami) i SOP(Zasady tego samego źródła) to konfiguracje po stronie serwera, które klienci decydują się wymusić lub nie .

Powiązane z klientami

• Większość przeglądarek wymusza to, aby zapobiec problemom związanym z CSRFatakiem.
• Większość narzędzi programistycznych nie obchodzi o to.

Chociaż wszystkie odpowiedzi tutaj są naprawdę dobrym wyjaśnieniem, czym są cors, ale bezpośrednia odpowiedź na twoje pytanie byłaby z powodu następujących różnic między listonoszem a przeglądarką.

Przeglądarka: wysyła OPTIONSwywołanie, aby sprawdzić typ serwera i pobrać nagłówki przed wysłaniem nowego żądania do punktu końcowego interfejsu API. Gdzie to sprawdza Access-Control-Allow-Origin. Biorąc to pod uwagę, Access-Control-Allow-Originnagłówek tylko określa, które wszystkie CROSS ORIGINS są dozwolone, chociaż domyślnie przeglądarka zezwala tylko na to samo źródło.

Listonosz: Wysyła bezpośredni GET, POST, PUT, DELETEitd. Żądanie bez sprawdzenia, jaki typ serwera jest i uzyskiwanie nagłówka Access-Control-Allow-Originza pomocą OPTIONSpołączenia z serwerem.

Ogólnie rzecz biorąc, Postman używany do debugowania i używany w fazie rozwoju. Ale jeśli chcesz go zablokować nawet przed listonoszem, spróbuj tego.

    const referrer_domain = "[enter-the-domain-name-of-the-referrer]"
    //check for the referrer domain
    app.all('/*', function(req, res, next) {
      if(req.headers.referer.indexOf(referrer_domain) == -1){
        res.send('Invalid Request')
      }

      next();
    });

Użyj wtyczki przeglądarki / chrome postman, aby sprawdzić CORS / SOP jak stronę internetową. Zamiast tego użyj aplikacji komputerowej, aby uniknąć tych elementów sterujących.