CORS-Header-Generator

Die CORS-Spezifikation verbietet die Kombination von Access-Control-Allow-Origin: * mit Access-Control-Allow-Credentials: true. Wenn Credentials (Cookies, Authorization-Header) im Spiel sind, muss der Server den genauen anfragenden Origin zurückgeben, keinen Wildcard. Dies verhindert, dass beliebige Websites die Credentials eines eingeloggten Nutzers für authentifizierte API-Aufrufe nutzen.

Eine Preflight-OPTIONS-Anfrage wird vor jeder nicht-einfachen Anfrage gesendet. Einfache Anfragen verwenden GET oder POST mit nur Standard-Headern. Nicht-einfache Anfragen umfassen: PUT-, DELETE-, PATCH-Methoden; benutzerdefinierte Header (wie Authorization, X-API-Key); Content-Type application/json. Ihr Server muss auf OPTIONS-Anfragen mit den entsprechenden Allow-*-Headern antworten.

Max-Age teilt dem Browser mit, wie lange (in Sekunden) die Preflight-Antwort zwischengespeichert werden soll. Ein üblicher Wert ist 86400 (24 Stunden). Dies reduziert Preflight-Roundtrips in der Produktion. Setzen Sie es während der Entwicklung auf 0, um Caching-Probleme zu vermeiden.

Standardmäßig kann JavaScript nur eine begrenzte Anzahl "sicherer" Antwort-Header lesen. Wenn Ihre API benutzerdefinierte Header wie X-Total-Count oder X-Request-Id zurückgibt, müssen Sie diese in Access-Control-Expose-Headers auflisten. Ohne dies sieht JavaScript diese Header als undefined, auch wenn sie in der HTTP-Antwort vorhanden sind.

Wählen Sie "Bestimmte Ursprünge" und fügen Sie jeden vertrauenswürdigen Origin einzeln hinzu (z. B. https://app.example.com). Die CORS-Spezifikation unterstützt keine mehreren Werte in einem einzelnen Header. Bei mehreren Origins muss Ihr Server den Origin-Header der Anfrage dynamisch gegen eine Whitelist prüfen und den passenden zurückgeben. Die generierten Nginx/Apache/Node.js-Konfigurationen enthalten diese Logik.

HTTP-Header (rohe Header-Werte), Nginx (add_header-Direktiven), Apache (.htaccess mit Header-set-Direktiven), Node.js/Express (Middleware mit dem cors-Paket oder manuellen res.setHeader-Aufrufen) und PHP (header()-Funktionsaufrufe). Wechseln Sie zwischen den Tabs, um jedes Format zu sehen.

Nein. Alles läuft in Ihrem Browser. Nichts wird an einen Server gesendet oder irgendwo gespeichert.