cột sống, node.js (express) và Access-Control-Allow-Origin

Question

Tôi đang phát triển một ứng dụng trên máy tính cục bộ của mình. Giao diện người dùng phải được xây dựng với spinejs và backend-api với node.js. cột sống đang chạy trên cổng 9294 và Node.js đang chạy trên cổng 3000. trong cột sống tôi đã thêm vào mô hình của tôi như sau:

@url: "http:localhost:3000/posts" 

và trong máy chủ nhanh của tôi

app.get('/posts', function(req, res){ 
    console.log("giving ALL the posts"); 
    res.header("Access-Control-Allow-Origin", "*") 
    res.json(posts); 
}); 

Nhưng Tôi luôn nhận được thông báo lỗi sau trong chrome:

XMLHttpRequest cannot load http://localhost:3000/posts. Origin http://localhost:9294 is not allowed by Access-Control-Allow-Origin. 

Tôi phải làm gì để có thể truy cập api đúng cách? Tôi mặc dù thêm tiêu đề trong các phản hồi sẽ khắc phục được sự cố.

Answer 1

app.get sẽ chỉ trả lời yêu cầu GET. Nếu trình duyệt đang xem trước nó với yêu cầu OPTIONS, thì tốc độ gửi sẽ gửi một lỗi vì trình duyệt không có bất kỳ người nghe nào cho các yêu cầu đó. Hãy thử thêm mã này ngoài bạn và xem nếu nó hoạt động:

app.options('/posts', function(req, res){ 
    console.log("writing headers only"); 
    res.header("Access-Control-Allow-Origin", "*"); 
    res.end(''); 
}); 

Cũng lưu ý: nếu bạn đang gửi cookie với yêu cầu (withcredentials=true), sau đó các Access-Control-Allow-Origin tiêu đề không thể *, nó phải là chính xác giá trị trong Origin tiêu đề mà trình duyệt sẽ tự động thêm vào yêu cầu ajax như vậy:

res.header("Access-Control-Allow-Origin", req.headers.origin); 

Đây là vì lý do an ninh - nếu bạn đang làm cái gì mà đòi hỏi phải có các tập tin cookie, sau đó nó có nhiều khả năng là bạn sẽ muốn thực sự kiểm tra xem origin có cho phép không trang web ed để tránh CSRF attacks.

Answer 2

Phần mềm trung gian này sẽ cho phép CORS sử dụng Express, khóa đang phát hiện yêu cầu preflight OPTIONS và trả về phản hồi để tránh truy vấn cơ sở dữ liệu 404 hoặc trùng lặp. Xem tài nguyên: http://cuppster.com/2012/04/10/cors-middleware-for-node-js-and-express/

var methodOverride = require('method-override'); 
app.use(methodOverride()); 

// ## CORS middleware 
// see: http://stackoverflow.com/questions/7067966/how-to-allow-cors-in-express-nodejs 
var allowCrossDomain = function(req, res, next) { 
    res.header('Access-Control-Allow-Origin', '*'); 
    res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE'); 
    res.header('Access-Control-Allow-Headers', 'Content-Type, Authorization'); 

    // intercept OPTIONS method 
    if ('OPTIONS' == req.method) { 
     res.send(200); 
    } 
    else { 
     next(); 
    } 
}; 
app.use(allowCrossDomain);