KrakenD 的跨域读取阻塞 (CORB) 问题 - 来自 POST 的“应用程序/json”

Question

auth.js:84 跨域读取阻塞 (CORB) 阻止了跨域响应http://myserver/auth与 MIME 类型 application/json。这也不适用于 Firefox，尽管 Firefox 错误消息更通用。奇怪的是，Firefox 的网络面板显示我想要的响应实际上已交付，浏览器只是不接受将其传递给我的 JavaScript 代码的响应。这是我的krakend.json文件中的 CORS 设置：        "github_com/devopsfaith/krakend-cors": {            "allow_origins": ["http://localhost:61552"],            "allow_headers": ["Origin", "Authorization", "Content-Type", "Accept", "X-Auth-Token", "Referer", "User-Agent"],            "expose_headers": ["Content-Type", "Content-Length"],            "allow_credentials": true,            "allow_methods": ["GET", "HEAD", "POST", "OPTIONS"]        }这是被调用的特定端点：    "endpoints": [{            "endpoint": "/auth",            "method": "POST",            "output_encoding": "no-op",            "extra_config": {                "github.com/devopsfaith/krakend-ratelimit/juju/router": {                    "maxRate": 20,                    "clientMaxRate": 8,                    "strategy": "ip"                }            },            "backend": [{                "url_pattern": "/connect/token",                "encoding": "no-op",                "sd": "dns",                "host": ["identity-server.service.consul"],                "disable_host_sanitize": true            }]        },我的 JavaScript 请求如下所示：    xhr.open('POST', url);    xhr.setRequestHeader('Accept', 'application/json');    xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');    xhr.withCredentials = true;    xhr.onreadystatechange = function () {       ...    }    xhr.send(...我想尝试将响应的内容类型更改为text/plain以防万一，但我目前无法访问生成该响应的代码，而且我不知道这是否会有所帮助。当我从 node.js 服务器或 Postman 之类的应用程序发出相同的请求时，一切都会正确返回，并且我想看到的标头应该足以让 CORS 感到高兴 ( access-control-allow-credentials: true, access-control-allow-origin: *)

Answer 1

我终于找到了答案。

第一个问题是，当使用 时xhr.withCredentials = true，获得 的响应头还不够好access-control-allow-origin: *。响应头必须包含请求本身的原始来源，例如access-control-allow-origin: https://example.com.

第二个问题是 kraken 使用的 CORS 模块处理通配符域的方式。如果您使用"allow_origins": []或"allow_origins": ["*"]，则服务器access-control-allow-origin: *无论如何都会响应。

但是，我不想将所有可能想要使用此服务器的主机列入白名单。

幸运的是，有人能够指出 kraken 用于处理 CORS 的源代码（在https://github.com/rs/cors），事实证明，如果您使用除"*"for之外的任何其他类型的通配符表达式一切都一样"http*"，然后服务器回显原始主机，一切都很好！我的配置现在是：

"allow_origins": ["http*"]

注意：这样做可能很危险！如果您将敏感数据放入 cookie，同样的数据可以通过这种方式提供给任何其他网站。