CORS z Laravel 4

Question

Piszę API i używam Laravel 4, aby to osiągnąć. Moje API znajduje się w innej domenie. Załóżmy, że jest: http://api-example.com/

A gdy próbuję wykonać żądania ajax przez Backbone do mojego api z mojej aplikacji internetowej (tj. mydomain.com) z podstawowym uwierzytelnieniem, czasami działa dobrze, ale czasami tak nie jest. Próbuję zrozumieć dlaczego. Poniżej znajduje się mój filtr App::before i filtr App::after.

App::before(function($request) 
{ 
    if($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { 
     $statusCode = 204; 

     $headers = [ 
      'Access-Control-Allow-Origin'  => 'http://mydomain.com', 
      'Allow'       => 'GET, POST, OPTIONS', 
      'Access-Control-Allow-Headers'  => 'Origin, Content-Type, Accept, Authorization, X-Requested-With', 
      'Access-Control-Allow-Credentials' => 'true' 
     ]; 

     return Response::make(null, $statusCode, $headers); 
    } 
}); 

i My po filtrze:

App::after(function($request, $response) 
{ 
    $response->headers->set('Access-Control-Allow-Origin', 'http://mydomain.com'); 
    $response->headers->set('Allow', 'GET, POST, OPTIONS'); 
    $response->headers->set('Access-Control-Allow-Headers', 'Origin, Content-Type, Accept, Authorization, X-Requested-With'); 
    $response->headers->set('Access-Control-Allow-Credentials', 'true'); 
    return $response; 
}); 

Chodzi o to, kiedy próbuję zrobić żądania POST do /login z poświadczeniami, API sprawdza db i dostaje klucz API dla użytkownika. To działa dobrze. Ale gdy próbuję wykonać żądanie POST do /users chromem po prostu daje mi następujący błąd:

XMLHttpRequest cannot load http://api-example.com/users. Origin http://mydomain.com is not allowed by Access-Control-Allow-Origin. 

Próbowałem wszystkiego, takie jak ustawienie Access-Control-Allow-Origin do '*' wszystko mogę być w stanie znaleźć z internecie. Ale nic nie zadziałało tak daleko. Nie wiem, co powinienem zrobić.

Answer 1

Niektóre przeglądarki mogą temu zaprzeczyć, ponieważ skrypty XSS robią paskudne rzeczy w ten sposób.

Jeśli wczytać plik js z http://api-example.com/ może pomóc, ale są bardziej stabilne rozwiązania:

• Można użyć curl (lub coś podobnego) lub
• Można korzystać z serwera proxy (Apache, Nginx itp) na żądanie AJAX do załadowania odpowiedź z innego hosta
• albo jeśli useing równoważenia obciążenia lub frontend cache'owanie rzeczy, można utworzyć regułę ...

To de zależy od twojej infrastruktury i potrzeb, ale jeśli wydajność ma znaczenie, pomiń curl.

Answer 2

Nie ma sensu tworzenie wyszukanego obiektu odpowiedzi i zwracanie go, a następnie zezwolenie na procesowanie strony, ponieważ spowoduje to zatarcie nagłówków CORS i kontynuowanie zwykłej zawartości.

App::before(function($request) 
{ 
    if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') { 

     header('Access-Control-Allow-Origin', 'http://mydomain.com'); 
     header('Allow', 'GET, POST, OPTIONS'); 
     header('Access-Control-Allow-Headers', 'Origin, Content-Type, Accept, Authorization, X-Request-With'); 
     header('Access-Control-Allow-Credentials', 'true'); 

     exit; 
    } 
}); 

Answer 3

W nagłówku jest błąd.