使用Postman工具/ cURL /在Chrome控制台中测试CORS

发布时间：2020-12-13 19:51:20 所属栏目：Linux 来源：网络整理

导读：我正在使用Postman工具测试CORS并且我经常得到 access-control-allow-origin → null 对于GET或OPTIONS请求 http://localhost:4000/api/accounts?Host=http://localhost:4200/X-Origin=http://jquery.com 使用Origin而不是X-Origin也不会改变结果. 同时,如果

我正在使用Postman工具测试CORS并且我经常得到

access-control-allow-origin → null

对于GET或OPTIONS请求

http://localhost:4000/api/accounts?Host=http://localhost:4200/&X-Origin=http://jquery.com

使用Origin而不是X-Origin也不会改变结果.
同时,如果我像这样使用cURL

curl -H "Origin: http://jquery.com" --verbose http://localhost:4000/api/accounts

我确实可以访问API

< access-control-allow-origin: http://jquery.com

我还使用http和chrome Javascript控制台打开了jQuery网站,以便执行此代码：

$.get("http://localhost:4000/api/accounts").then(function(val){console.log(val);})

它打印了API返回的JSON对象.

现在我的问题如下：

>如何使用Postman正确测试CORS？我注意到,当在服务器上设置allow origin选项时,* Postman确实会返回

access-control-allow-origin→*

只有当我明确允许一组来源时才会出现上述问题：

`origin: ["https://www.getpostman.com/","http://localhost:4200/","http://jquery.com"]`

>我注意到允许http://jquery.com/而不是http://jquery.com不允许来源为Origin = http：//jquery.com的请求？
>我注意到即使请求来自非授权来源,cURL也会返回资源的内容(在本例中为JSON数据).这是正常的还是意味着我忘了在服务器上配置暴露这些数据的东西？

解决方法

从客户端发送的Origin头是请求源自的方案,域和端口(如果不是80).尾部/在标题中无效.您也不能发送多个来源.从服务器发送的Access-Control-Allow-Origin可以是*,允许所有来源,或者从请求标头发回相同的来源.

例如,如果您在Chrome中向http://www.telerik.com/发出请求,则请求标头包含Origin：http：//www.telerik.com(浏览器自动发送此请求),以及来自的响应标头服务器包含Access-Control-Allow-Origin：http：//www.telerik.com.

至于你的上一个问题,根据规范,用户代理负责执行CORS,所以我怀疑cURL不会验证请求和响应是否匹配.

The user agent validates that the value and origin of where the
request originated match.

资料来源：https://www.w3.org/TR/cors/

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!