Este sigur să rezolvi erorile Access-Control-Allow-Origin (CORS origin) cu o directivă header PHP?

Question

Este sigur să rezolvi erorile Access-Control-Allow-Origin (CORS origin) cu o directivă header PHP?

10 oct. 2016, 20:21:14

Vizualizări: 23.9K

Voturi: 5

Încerc să afișez un formular Formidable Pro de pe un site WordPress pe un alt site. Am urmat documentația dezvoltatorului și REST API, dar m-am confruntat cu o problemă CORS.

Apoi am găsit o sugestie într-un thread pe forum care propunea adăugarea acestei linii de cod în functions.php al site-ului unde se află formularul original:

header("Access-Control-Allow-Origin: *");

Am încercat acest cod și a funcționat perfect.

Întrebarea mea este: acest cod creează riscuri de securitate sau alte vulnerabilități?

Soluția pare prea simplă pentru o problemă cu care se confruntă mulți oameni.

Apreciez foarte mult părerea voastră.

Atef Wagih

221

anteturi api rest api

Comentarii

@markratledge. Mulțumesc pentru editarea întrebării. Acum are mai mult sens și cu siguranță m-a ajutat să formulez întrebări mai bune.

Atef Wagih

12 oct. 2016 07:29:34

Mă întreb dacă acest răspuns ajută: https://wordpress.stackexchange.com/a/226494/51462

Ryan

13 aug. 2017 05:02:57

Toate răspunsurile la întrebare

Comentarii

Mulțumesc. Prima soluție a funcționat pentru mine. Dar având în vedere că am 4 site-uri pe care vreau să le permit accesul la site-ul principal, trebuie să repet linia de 4 ori și să schimb URL-ul site-ului, sau pot fi combinate într-o singură comandă? Mulțumesc.

Atef Wagih

12 oct. 2016 11:14:51

Bineînțeles că poți, eu obișnuiesc să permit accesul la API doar pentru câteva site-uri. Am actualizat răspunsul meu cu verificarea pentru acest lucru. Dacă funcționează, ai putea să votezi răspunsul?

Jesús Franco

12 oct. 2016 20:25:13

prima soluție a funcționat doar pentru 1 domeniu. dacă am repetat linia, nu a funcționat. Am încercat metoda din acest thread link, dar nu a funcționat nici aceea. Când am aplicat soluția 2, iată ce am primit: XMLHttpRequest cannot load https://coptic-treasures.com/wp-json/frm/v2/forms/6?return=html. The 'Access-Control-Allow-Origin' header has a value 'https://coptic-treasures.com' that is not equal to the supplied origin. Origin 'https://audio.coptic-treasures.com' is therefore not allowed access.

Atef Wagih

14 oct. 2016 11:39:24

Nu poți folosi header-ul Allow Origin de mai multe ori. Am actualizat răspunsul meu cu instrucțiuni suplimentare pentru a te ajuta să depanezi problema, deoarece returnarea mereu a aceluiași site nu ar trebui să se întâmple și ar trebui să recunoască lista de domenii pe care o transmiți în array. Te rog să actualizezi întrebarea ta cu datele din variabila $_SERVER, returnate de phpinfo(), excluzând parolele și căile de sistem de fișiere. Aș fi bucuros să te ajut.

Jesús Franco

14 oct. 2016 21:24:53

Mi-a luat cam 2 zile să aflu cum să elimin accesul CORS din API-ul WP-JSON. Mulțumesc pentru asta. Elimină apelul funcției rest_send_cors_headers!

dewd

22 nov. 2019 19:19:02

Arată celelalte 1 comentarii

context - browserele restricționează accesul la distanță din scripturi doar pentru site-ul de pe care a fost încărcat. Dacă acest tip de verificare nu ar fi făcut, în timp ce vizitați un site X, ar fi posibil ca acesta să trimită date în contul dvs. Gmail (dacă sunteți conectat) fără să fie nevoie să ghicească numele de utilizator și parola, deoarece browserul ar fi trimis cookie-urile corespunzătoare de autentificare către Gmail.

Protocolul CORS este conceput să vă ajute să relaxați această restricție atunci când este necesar.

Deci întrebarea pe care ar trebui să v-o puneți este: am nevoie de asta? Pe de o parte, nu văd de ce 99% dintre site-urile WordPress ar avea nevoie de această funcționalitate, pe de altă parte, cookie-urile WordPress au o durată de viață relativ scurtă și 99% dintre site-urile WordPress nu vor fi ținte pentru un astfel de atac aleatoriu.

Aș spune că, deoarece REST API este unul care permite modificări și are acces la informații private, nu ar trebui să utilizați REST API în soluția dvs. dacă trebuie să activați CORS, este mai bine să vă creați propriul API "doar pentru citire".

Mark Kaplun

23.7K

11 oct. 2016 21:21:33

Comentarii

OP nu vorbește despre 99% dintre site-urile WP existente, ci despre propriile site-uri, iar conform întrebării, este necesar să se facă disponibile resurse de pe alt site.

Jesús Franco

13 oct. 2016 17:23:13

@JesúsFranco, și care este ideea ta?

Mark Kaplun

13 oct. 2016 17:58:44

Că ideea este să răspunzi la întrebare, acesta este scopul acestui site.

Jesús Franco

13 oct. 2016 19:41:17

@JesúsFranco, cred că reputația mea arată că știu cum să răspund la întrebări și nu am nevoie de sfaturile tale?

Mark Kaplun

13 oct. 2016 19:50:29

Deci, ai o idee anume despre cum OP poate rezolva această problemă?

Jesús Franco

14 oct. 2016 21:26:02

Arată celelalte 11 comentarii

Jesús Franco 631 · Accepted Answer · 2016-10-11T20:17:24Z

Da, deschizi site-ul tău pentru a fi accesat prin AJAX de către orice alt script de pe întregul internet.

Ar fi mai bine să limitezi originea la un singur domeniu specific de la care consumi API-ul, ca în acest exemplu:

header("Access-Control-Allow-Origin: http://mozilla.com");

Totuși, după cum menționează documentația Mozilla, un client poate falsifica originea, dar limitarea site-urilor la care un utilizator obișnuit se poate conecta reprezintă un obstacol pentru unele atacuri.

Și mai bine, poți limita cererile doar la metodele pe care chiar trebuie să le permiți, esența este acest fragment de cod, care funcționează pentru mai multe domenii, dacă variabila $_SERVER['HTTP_ORIGIN'] este populată:

add_action('rest_api_init', function() {

     /* dezactivează funcția implicită */
     remove_filter('rest_pre_serve_request', 'rest_send_cors_headers');

     /* adaugă propriul filtru */
     add_filter('rest_pre_serve_request', function( $value ) {
          $origin = get_http_origin();
          $my_sites = array( 'http://site1.org/', 'http://site2.net', );
          if ( in_array( $origin, $my_sites ) ) {
              header( 'Access-Control-Allow-Origin: ' . esc_url_raw( $origin ) );
          } else {
              header( 'Access-Control-Allow-Origin: ' . esc_url_raw( site_url() ) );
          }
          header( 'Access-Control-Allow-Methods: GET' );

          return $value;
     });
}, 15);

După cum poți vedea, acest fragment utilizează funcția get_http_origin oferită de WordPress, dar va returna null sau gol dacă cheia HTTP_ORIGIN nu este populată în array-ul $_SERVER, deci nu este disponibilă scriptului PHP, poate pentru că este blocată de proxy-ul Cloudflare pe care îl folosești. Aș verifica rapid, cu un script care conține <?php phpinfo(); ?>, dacă această variabilă este populată.

Poate că site-ul de origine este populat într-un alt header de către Cloudflare și ai putea să-l folosești într-o funcție conectată la filtrul http_origin. Dacă ești blocat până în acest punct, editează întrebarea inițială postând conținutul variabilei _SERVER, cu excepția câmpurilor ce conțin parole sau căi de sistem.

Aș fi bucuros să te ajut.