CORS Başlık Oluştürücu

CORS spesifikasyonu, Access-Control-Allow-Origin: * ile Access-Control-Allow-Credentials: true kombinasyonunu açıkça yasaklar. Kimlik bilgileri (çerezler, Authorization başlıkları) söz konusu olduğunda, sunucu joker karakter değil tam olarak isteği yapan origin'i döndürmelidir. Bu, herhangi bir web sitesinin oturum açmış bir kullanıcının kimlik bilgilerini kullanarak kimlik doğrulamalı API çağrıları yapmasını önler.

Basit olmayan her istekten önce bir preflight OPTIONS isteği gönderilir. Basit istekler, yalnızca standart başlıklarla GET veya POST kullanır. Basit olmayan istekler şunları içerir: PUT, DELETE, PATCH metotları; özel başlıklar (Authorization, X-API-Key gibi); application/json Content-Type. Sunucunuzun OPTIONS isteklerine uygun Allow-* başlıklarıyla yanıt vermesi gerekir.

Max-Age, tarayıcıya preflight yanıtını kaç saniye önbelleğe alacağını söyler. Yaygın bir değer 86400'dür (24 saat). Bu, production'da preflight gidiş-dönüşlerini azaltır. Önbellekleme sorunlarını önlemek için geliştirme sırasında 0 olarak ayarlayın.

Varsayılan olarak JavaScript, yalnızca sınırlı sayıda "güvenli" yanıt başlığını okuyabilir. API'niz X-Total-Count veya X-Request-Id gibi özel başlıklar döndürüyorsa, bunları Access-Control-Expose-Headers'da listelemeniz gerekir. Aksi takdirde, JavaScript bu başlıkları HTTP yanıtında mevcut olmalarına rağmen undefined olarak görecektir.

"Belirli Kaynaklar"ı seçin ve her güvenilir origin'i ayrı ayrı ekleyin (ör. https://app.example.com). CORS spesifikasyonu tek bir başlıkta birden fazla değeri desteklemez. Birden fazla origin için sunucunuzun istek Origin başlığını dinamik olarak bir izin listesiyle karşılaştırması ve eşleşeni geri döndürmesi gerekir. Oluşturulan Nginx/Apache/Node.js yapılandırmaları bu mantığı içerir.

HTTP Başlıkları (ham başlık değerleri), Nginx (add_header direktifleri), Apache (.htaccess ile Header set direktifleri), Node.js/Express (cors paketi veya manuel res.setHeader çağrıları) ve PHP (header() fonksiyon çağrıları). Her formatı görmek için sekmeler arasında geçiş yapın.

Hayır. Her şey tarayıcınızda çalışır. Hiçbir şey sunucuya gönderilmez veya herhangi bir yerde saklanmaz.