重新整理 .net core 实践篇————跨域问题四十一]

2021年7月12日 6点热度 0条评论 来源: 敖毛毛

前言

简单整理一下.net core 的跨域问题,这个以前也整理过比较详细的,故而在此简单整理一下。

正文

对跨域相对的就是同源,什么是同源呢?

  1. 协议相同(http/https)

  2. 主机(域名)相同

  3. 端口相同

如果全部满足这个三个条件就是同源,否者就是跨域。

跨域请求大概是下面这个过程:

从上面中看到,这些行为都是浏览器自己发起的检验,而不是我们的用户的行为。

那么就有两点东西就值得关注了。

  1. 假如a.com和b.com都是我的网站,现在我希望a.com访问b.com的东西。

这时候出现了浏览器出现报错,那么怎么办呢?b网站是否应该做什么呢?

  1. 安全问题,我就只希望a.com去访问b.com,其他网站不允许。

上文图片中显示了,浏览器会发送一个options请求判断是否允许请求,那么这个请求是什么呢?或者它包含什么呢?

首先这个请求是options,然后其头部包括。

  1. origin 请求源

  2. Access-Control-Request-Method 浏览器请求的方法,比如说post,get

  3. Access-Control-Request-Headers 是指我们请求发起的请求头

那么我们的服务器需要响应:

  1. Access-Control-Allow-Origin 是否允许跨域

  2. Access-Control-Allow-Credentials 是否允许携带我们的认证信息,比如cookie信息

  3. Access-Control-Expose-Headers 允许跨域请求的脚本访问到响应头的信息

  4. Access-Control-Max-Age 有效跨域的时间,如果时间过了浏览器还有再次过来请求是否可以通过请求

  5. Access-Control-Allow-Methods 允许的http方法

  6. Access-Control-Allow-Headers 允许的http头

也就是说浏览器需要告诉服务器我们请求的信息是怎么样的,需要哪个域名来访问、请求的方法是什么,需要访问的请求的头部信息是什么。

现在假设我们拿到这些信息了,查看origin通过,看下请求Access-Control-Request-Method是post也通过,然后查看一下Access-Control-Request-Headers,比如这个值是X-Custom-token。

那么如果我们允许用户请求的header里面有X-Custom-token的话,那么在回复里面Access-Control-Allow-Methods就应该是:Access-Control-Allow-Methods:X-Custom-token。

Access-Control-Request-Headers 上面还是有点绕哈:https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/Access-Control-Request-Headers 直接看这个。

如上上述满足origin 和 Access-Control-Request-Method 的话,那么我在响应包的头部加入Access-Control-Allow-Origin:true,否则就是在Access-Control-Allow-Origin:false。

这里说明一下,如果options 请求Access-Control-Request-Headers里面的值,我们不同意的话,同样可以返回Access-Control-Allow-Origin 为true, Access-Control-Allow-Headers可以不返回,但是在请求的时候会出现用户自定义的header不会传输到我们的后台。

故而,如果Access-Control-Request-Headers 不满足的时候,个人认为设置可以Access-Control-Allow-Origin为true,这样表示是允许跨域的,但是自定义的一些header没有意义故而不传输。

同时Access-Control-Allow-Credentials:true,告诉浏览器请求的时候可以携带我们的认证信息,这个认证信息一般是Cookie。

Access-Control-Expose-Headers 这个是什么意思呢? 比如说a.com访问b.com,响应的头部有一个Good:aaa,也就是自定义头部。

那么我们就需要在Access-Control-Expose-Headers写Good这个头部信息(Access-Control-Expose-Headers:Good)运行对a.com的js访问到,否则js无法访问到自定义头部的。

Access-Control-Max-Age 就是跨域检测的有效期,就是过了这段时间还是要询问是否可以请求,因为到时候可能就变卦了。

这个还是很重要的。

Access-Control-Allow-Methods 和 Access-Control-Allow-Headers就是告诉浏览器,服务器对这个origin 允许的方法和头部,如果符合下次就不要再来问一次了。

这些属性都可以去查https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers。

下面介绍如何设置跨域请求:

配置服务:

services.AddCors(options =>
{
	options.AddPolicy("api", builder =>
	{
		builder.WithOrigins("https://localhost:5000").AllowAnyHeader().AllowCredentials().WithExposedHeaders();
	});
});

加入中间件:

app.UseCors();

具体的请求加入属性头:

[EnableCors("api")]
[HttpPost]
public IActionResult Pay()
{
	return Content(User.FindFirst("name").Value+"买买买");
}

这里用postman测试一下检测部分的请求。

下一节

.net core 的缓存问题。

    原文作者:敖毛毛
    原文地址: https://www.cnblogs.com/aoximin/p/14994379.html
    本文转自网络文章,转载此文章仅为分享知识,如有侵权,请联系管理员进行删除。