CORS con POSTMAN

Questo argomento è stato chiesto un paio di volte, ma ancora non ho capito qualcosa:

Quando ho letto le risposte su

Nessuna intestazione "Access-Control-Allow-Origin"

problema, si dice un ambiente deve essere impostato sul server richiesto al fine di consentire cross domain: add_header 'Access-Control-Allow-Origin' '*';.

Ma per favore dimmi perché quando chiedo al postino (che è un cliente), funziona a meraviglia e ho una risposta dal server richiesto?

Grazie

Come commenta @Musa, sembra che il motivo sia che:

Postman non si preoccupa di SOP, è uno strumento di sviluppo non un browser

A proposito, ecco un file un'estensione per Chrome per farlo funzionare sul tuo browser (questa è per Chrome, ma puoi trovarla per FF o Safari).

Controlla qui se vuoi saperne di più su Cross-Origin e perché funziona per le estensioni.

Se utilizzi un sito web e compili un modulo per inviare informazioni (ad esempio il tuo numero di previdenza sociale), vuoi essere sicuro che le informazioni vengano inviate al sito a cui pensi che siano state inviate. Quindi i browser sono stati progettati per dire, per impostazione predefinita, "Non inviare informazioni a un dominio diverso da quello visitato).

Alla fine questo è diventato troppo limitante, ma l'idea predefinita rimane ancora nei browser. Non lasciare che la pagina web invii informazioni a un dominio diverso. Ma questo è tutto il controllo del browser. Chrome e Firefox, ecc. Hanno un codice integrato che dice "prima di inviare questa richiesta, controlleremo che la destinazione corrisponda alla pagina visitata".

Postman (o CURL sulla riga cmd) non ha questi controlli incorporati. Stai interagendo manualmente con un sito in modo da avere il pieno controllo su ciò che stai inviando.

CORS (Condivisione di risorse tra le origini) e SOP (Same-Origin Policy) sono configurazioni lato server che i client decidono di applicare o meno .

Relativo ai clienti

• La maggior parte dei browser lo applica per prevenire problemi relativi aCSRF attacchi.
• Alla maggior parte degli strumenti di sviluppo non interessa .

Anche se tutte le risposte qui sono un'ottima spiegazione di cosa sia cors, ma la risposta diretta alla tua domanda sarebbe dovuta alle seguenti differenze postino e browser.

Browser: invia la OPTIONSchiamata per controllare il tipo di server e ottenere le intestazioni prima di inviare qualsiasi nuova richiesta all'endpoint API. Dove controlla Access-Control-Allow-Origin. Tenendo conto di questoAccess-Control-Allow-Origin intestazione specifica solo quali sono le CROSS ORIGINS consentite, sebbene per impostazione predefinita il browser consentirà solo la stessa origine.

Postman: invia diretta GET, POST, PUT, DELETEecc richiesta senza controllare che tipo di server è e ottenere l'intestazione Access-Control-Allow-Originutilizzando OPTIONSchiamata al server.

In genere, Postman utilizzato per il debug e utilizzato nella fase di sviluppo. Ma nel caso volessi bloccarlo anche dal postino prova questo.

    const referrer_domain = "[enter-the-domain-name-of-the-referrer]"
    //check for the referrer domain
    app.all('/*', function(req, res, next) {
      if(req.headers.referer.indexOf(referrer_domain) == -1){
        res.send('Invalid Request')
      }

      next();
    });

Usa il plugin browser / chrome postman per controllare CORS / SOP come un sito web. Utilizzare invece l'applicazione desktop per evitare questi controlli.