Безопасно ли исправлять ошибки Access-Control-Allow-Origin (CORS origin) с помощью директивы заголовка php?

Question

Безопасно ли исправлять ошибки Access-Control-Allow-Origin (CORS origin) с помощью директивы заголовка php?

10 окт. 2016 г., 20:21:14

Просмотры: 23.9K

Голосов: 5

Я пытаюсь отобразить форму Formidable Pro Form с одного сайта WordPress на другом. Я следовал документации API разработчика и REST API, но столкнулся с проблемой CORS.

Затем я нашел предложение в теме форума добавить эту строку кода в functions.php сайта, где находится оригинальная форма:

header("Access-Control-Allow-Origin: *");

Я попробовал этот код, и он отлично сработал.

Мой вопрос: создает ли этот код риски безопасности или другие уязвимости?

Решение кажется слишком простым для проблемы, с которой сталкиваются многие люди.

Буду признателен за ваш отзыв.

Atef Wagih

221

заголовки api rest api

Комментарии

@markratledge. Спасибо за редактирование вопроса. Теперь он стал более понятным и, безусловно, помог мне формулировать вопросы лучше.

Atef Wagih

12 окт. 2016 г. 07:29:34

Интересно, поможет ли этот ответ: https://wordpress.stackexchange.com/a/226494/51462

Ryan

13 авг. 2017 г. 05:02:57

Все ответы на вопрос

Комментарии

Спасибо. Первое решение сработало для меня. Но так как у меня 4 сайта, которым я хочу разрешить доступ к основному сайту, мне нужно повторить эту строку 4 раза, меняя URL сайта, или можно объединить это в одну команду? Спасибо.

Atef Wagih

12 окт. 2016 г. 11:14:51

Конечно можно, я обычно разрешаю доступ к API только для нескольких сайтов. Я обновил свой ответ с проверкой для этого случая. Если это сработает, не могли бы вы проголосовать за ответ?

Jesús Franco

12 окт. 2016 г. 20:25:13

Первое решение работало только для одного домена. Если я повторял строку, это не работало. Я попробовал метод из этой ветки ссылка, но он тоже не сработал. Когда я применил второе решение, вот что я получил: XMLHttpRequest cannot load https://coptic-treasures.com/wp-json/frm/v2/forms/6?return=html. The 'Access-Control-Allow-Origin' header has a value 'https://coptic-treasures.com' that is not equal to the supplied origin. Origin 'https://audio.coptic-treasures.com' is therefore not allowed access.

Atef Wagih

14 окт. 2016 г. 11:39:24

Нельзя использовать заголовок Allow Origin более одного раза. Я обновил свой ответ с дополнительными инструкциями, чтобы помочь вам в отладке проблемы, потому что постоянное возвращение одного и того же сайта не должно происходить - система должна распознавать список ваших доменов, который вы передаёте в массив. Пожалуйста, обновите ваш вопрос, добавив данные переменной $_SERVER, возвращаемые функцией phpinfo(), исключая пароли и пути файловой системы. Буду рад помочь.

Jesús Franco

14 окт. 2016 г. 21:24:53

У меня ушло около 2 дней, чтобы разобраться, как убрать доступ CORS из WP-JSON API. Спасибо за это. Удалите вызов функции rest_send_cors_headers!

dewd

22 нояб. 2019 г. 19:19:02

Показать остальные 1 комментариев

Предыстория - браузеры ограничивают удаленный доступ скриптов только сайтом, с которого они были загружены. Если бы такая проверка не выполнялась, при посещении сайта X было бы возможно отправлять данные в ваш аккаунт Gmail (если вы авторизованы) без необходимости угадывать логин и пароль, потому что браузер автоматически отправлял бы соответствующие аутентификационные куки в Gmail.

Протокол CORS существует, чтобы помочь ослабить это ограничение, когда это необходимо.

Поэтому вопрос, который вы должны задать себе - нужен ли он мне? С одной стороны, трудно представить, зачем он может понадобиться 99% сайтов на WordPress, с другой - куки WordPress относительно недолговечны, и 99% сайтов на WordPress вряд ли станут целью подобных случайных атак.

Я бы сказал, что поскольку REST API в WordPress позволяет вносить изменения и имеет доступ к приватной информации, вам не следует использовать REST API в вашем решении, если вам нужно включить CORS. Лучше написать собственный API только для чтения данных.

Mark Kaplun

23.7K

11 окт. 2016 г. 21:21:33

Комментарии

OP говорит не о 99% сайтов на WP, а о своих собственных, и согласно вопросу, необходимо сделать доступными ресурсы с другого сайта.

Jesús Franco

13 окт. 2016 г. 17:23:13

@JesúsFranco, и в чем твоя мысль?

Mark Kaplun

13 окт. 2016 г. 17:58:44

В том, что суть в том, чтобы ответить на вопрос, это цель данного сайта.

Jesús Franco

13 окт. 2016 г. 19:41:17

@JesúsFranco, думаю, моя репутация показывает, что я знаю, как отвечать на вопросы, и мне не нужны ваши советы?

Mark Kaplun

13 окт. 2016 г. 19:50:29

Итак, у вас есть конкретное представление о том, как автор вопроса может решить эту проблему?

Jesús Franco

14 окт. 2016 г. 21:26:02

Показать остальные 11 комментариев

Jesús Franco 631 · Accepted Answer · 2016-10-11T20:17:24Z

Да, вы открываете свой сайт для AJAX-запросов из любого скрипта в интернете.

Лучше ограничить источник одним конкретным удаленным доменом, с которого вы потребляете API, как в этом примере:

header("Access-Control-Allow-Origin: http://mozilla.com");

Однако, как указано в документации Mozilla, клиент может подменить источник, тем не менее ограничение сайтов, с которых обычный пользователь может подключиться, служит сдерживающим фактором для некоторых атак.

Еще лучше, вы можете ограничить запросы только теми методами, которые действительно нужно разрешить, суть в этом сниппете, который работает для нескольких доменов, если переменная $_SERVER['HTTP_ORIGIN'] заполнена:

add_action('rest_api_init', function() {

     /* отключаем стандартную функцию */
     remove_filter('rest_pre_serve_request', 'rest_send_cors_headers');

     /* затем добавляем свой фильтр */
     add_filter('rest_pre_serve_request', function( $value ) {
          $origin = get_http_origin();
          $my_sites = array( 'http://site1.org/', 'http://site2.net', );
          if ( in_array( $origin, $my_sites ) ) {
              header( 'Access-Control-Allow-Origin: ' . esc_url_raw( $origin ) );
          } else {
              header( 'Access-Control-Allow-Origin: ' . esc_url_raw( site_url() ) );
          }
          header( 'Access-Control-Allow-Methods: GET' );

          return $value;
     });
}, 15);

Как видите, этот сниппет использует функцию get_http_origin, предоставляемую WordPress, но она вернет null или пустое значение, если ключ HTTP_ORIGIN не заполнен в массиве $_SERVER, следовательно, он недоступен для PHP-скрипта, возможно, потому что он заблокирован используемым прокси cloudflare. Я бы быстро проверил с помощью скрипта с <?php phpinfo(); ?>, заполнена ли эта переменная.

Возможно, исходный сайт указан в другом заголовке cloudflare, и вы можете использовать его в функции, подключенной к фильтру http_origin. Если вы запутались на этом этапе, отредактируйте исходный вопрос, опубликовав содержимое переменной _SERVER, за исключением путей файловой системы или паролей.

Буду рад помочь.