Phenquestions
Шта је ЦОРС
ЦОРС, такође познат као заједничко дељење ресурса, техника је која се користи у модерним веб прегледачима која контролише приступ ресурсима хостованим на веб серверу. ЦОРС користи додатна заглавља као што су порекло, контрола приступа-порекло и још много тога да утврди да ли тражени ресурс има дозволу за слање у прегледач. Примарна сврха ЦОРС-а је спречити веб апликацију која се покреће у веб прегледачу да приступи ресурсима хостованим у другом пореклу када нема дозволу, што значи да веб апликација не може да преузме ресурсе, као што су слике, скрипте, цсс попут било који садржај итд. када нису хостовани у истом пореклу (обично би сви требали бити у истом домену) као и веб апликација, осим ако је сервер конфигурисан да дозвољава ово понашање. Овом имплементацијом у веб прегледачу корисници могу заштитити своје податке од неовлашћених страна. Хакер може тајно да модификује веб страницу док је у средини везе како би пореметио пословање корисника или стекао приступ драгоценим подацима. Међутим, постоје и предности ЦОРС-а, као што омогућава програмерима да учитају ресурсе различитог порекла због исплативости или једноставно погодности. У том случају морају да модификују свој веб сервер како би дозволили такве захтеве. Овај чланак показује како то лако обавити на Нгинк веб серверу.
Шта покреће ЦОРС захтев
Нису сви захтеви покрећу ЦОРС захтев, јер се ресурси обично хостују у истом пореклу као и веб апликација. Ако је другачије, тада се покреће ЦОРС. ЦОРС има две врсте захтева, једноставан захтев и ЦОРС унапред означени захтев.
Једноставни захтев ради као уобичајени захтев, веб претраживач шаље захтев серверу за преузимање одређеног ресурса када га је корисник покренуо, а затим веб сервер проверава порекло захтева, упоређује га са правилима на веб серверу, ако је одговара, ресурс се испоручује. Овај тип захтева користи заглавља ОИРИГН и АЦЦЕСС-ЦОНТРОЛ-АЛЛОВ-ОРИГИН да би утврдио да ли ресурс треба доставити или не. Једноставан захтев се покреће само ако се користе методе захтева попут ГЕТ, ХЕАД, ПОСТ и заглавља попут Аццепт, Аццепт-Лангуаге, Цонтент-Лангуаге, Цонтент-Типе, ДПР, Довнлинк, Саве-Дата, Виевпорт-Видтх, Видтх. Чак и тада, све врсте садржаја не покрећу једноставан захтев. Овде само типови кодирања образаца покрећу једноставан захтев.
Претходно назначени тип захтева је прилично различит јер у првом кругу нема директног приступа ресурсима. Када се горенаведени услови некако промене, било коришћењем другог заглавља захтева или другог типа садржаја, покреће се унапред означени захтев. У унапред назначеним захтевима, веб прегледач прво се уверава да може приступити ресурсу комуницирајући са веб прегледачем, затим када веб прегледач одговори ок (ХТТП 200) одговором, а затим шаље други захтев за преузимање ресурса. За покретање првог захтева користи ХТТП ОПТИОН метод захтева, затим за преузимање ресурса користи ГЕТ, ПОСТ попут типова захтева.
Како конфигурисати Нгинк да подржава захтеве ЦОРС-а
Овај одељак показује како да конфигуришете нгинк веб сервер да дозволи међусобно дељење ресурса. То се може учинити само ако програмер има приступ веб серверу, јер укључује модификовање конфигурационе датотеке Нгинка.
Користите следећи једноставни исечак кода да бисте дозволили ЦОРС захтеве. Ово се мора копирати у подразумевану датотеку нгинк услуге у Убунту-у или било којој другој платформи.
локација \иф ($ рекуест_метход = 'ОПТИОНС')
адд_хеадер 'Аццесс-Цонтрол-Аллов-Оригин' 'хттпс: // лоцалхост;
адд_хеадер 'Аццесс-Цонтрол-Аллов-Метходс "ПОСТ, ОПТИОНС";
адд_хеадер 'Аццесс-Цонтрол-Мак-Аге' 1728000;
адд_хеадер 'Цонтент-Типе "тект / плаин; цхарсет = утф-8';
повратак 204;
иф ($ рекуест_метход = 'ПОСТ')
адд_хеадер 'Аццесс-Цонтрол-Аллов-Оригин "хттпс: // лоцалхост;
адд_хеадер 'Аццесс-Цонтрол-Аллов-Метходс' 'ПОСТ';
Основни исечак кода иде као горе. Садржи директиве попут рекуест_метход, адд_хеадер за идентификовање типа захтева и поставља заглавље одговора за читање прегледача. Заглавље Аццесс-цонтрол-аллов-оригин дефинише којем пореклу ресурс има приступ, на пример ако веб апликација хостована у гитхубу жели приступити слици хостованој у миОвнСервер.цом, онда УРЛ гитхуб-а треба користити као вредност директиве Аццесс-цонтрол-аллов-оригин у миОвнСервер.цом, онда кад год веб апликација хостована у гитхуб-у пошаље захтеве на миОвнСервер.цом да бисте преузели датотеку слике, сви ови тражени добијају дозволу. Заглавље Аццесс-цонтрол-аллов-метход дефинише које типове захтева подржава веб апликација која шаље захтеве, а затим су остала заглавља максимална старост за кеширање захтева и подржани тип садржаја.
Као што је горе описано, након што је ОПТИОН захтев завршен, прегледач шаље други захтев за преузимање ресурса ако је први захтев успео, а његова заглавља се постављају у првом рекуест_метход ако су заграде.
Осим горе наведених директива, у Нгинк-у постоје још неке важне директиве које се могу користити у ЦОРС захтевима. Једна од најважнијих директива је аццесс-цонтрол-аллов-хеадерс, оно што чини је постављање заглавља одговора са дозвољеним именима заглавља за прегледач да би верификовао. Веб апликација може имати сопствена заглавља за различите сврхе, а ако су таква заглавља присутна у наредним захтевима након почетног захтева ОПЦИЈЕ, онда би веб сервер требао да дозволи сва ова заглавља пре него што се тражени ресурс дели.
Важно је да овај исечак кода буде на правом месту у Нгинковој подразумеваној датотеци, јер Нгинк извршава различите блокове локације у зависности од подударне УРЛ адресе, ако такав блок локације не садржи овај исечак кода, онда се уопште не извршава, и зато је важно да се ово користи у свим блоковима локације са сигурне стране. Неки од важних блокова локације су Имагес, ПХП (~ \.пхп $), ЦСС, итд ... блокови.
Једном када је горе наведени одломак кода сачуван, сачувајте Нгинк датотеку и поново учитајте Нгинк услугу како би промене ступиле на снагу.
Закључак
ЦОРС је познат као заједничко дељење ресурса и техника је за контролу приступа ресурсима. Ови ресурси могу бити било која датотека са слике на јавасцрипт датотеку. Примарна сврха ЦОРС-а је да појача сигурност веб апликација како би спречио нападе човека у средини. Међутим, и ЦОРС може имати користи. У том случају мора бити укључен ЦОРС, јер то подразумевано није дозвољено. Основни тип захтева ЦОРС је једноставан тип захтева, користи само директиве ОРИГИН и АЦЦЕСС-ЦОНТРОЛ-АЛЛОВ-ОРИГИН, а уз ту помоћ Нгинк може да одобри веб претраживачу приступ траженом ресурсу у зависности од порекла. У сваком случају, ЦОРС је врло користан и треба га пажљиво користити.
