为什么我的CORS配置没有导致服务器过滤传入请求？如何使服务器只接受来自特定来源的请求？

Question

我想要我的Rails 5 API专用应用程序，现在运行在http://localhost:3000，仅接受来自my NodeJS前端应用程序的请求，目前运行于http://localhost:8888。

所以我配置了/config/initializers/cors。rb像这样：

Rails.application.config.middleware.insert_before 0, Rack::Cors do
  allow do
    origins "http://localhost:8888"
    resource "*",
      headers: :any,
      methods: [:get, :post, :put, :patch, :delete, :options, :head]
  end
end

我写了这个测试：

#/spec/request/cors_request_spec.rb

RSpec.feature "CORS protection", type: :request do
  it "should accept a request from a whitelisted domain" do
    get "/api/v1/bodies.json", nil, "HTTP_ORIGIN": "http://localhost:8888"
    expect(response.status).to eql(200)
  end
  it "should reject a request from a non-whitelisted domain" do
    get "/api/v1/bodies.json", nil, "HTTP_ORIGIN": "https://foreign.domain"
    expect(response.status).to eql(406)
  end
end

第一次测试如预期的那样通过了。但是第二个失败了，响应代码为200。为什么啊？

（顺便说一句，我不接受406响应代码；只是一个表示请求将无法满足的代码。）

Answer 1

CORS配置不会阻止服务器根据Origin请求头的值接受请求。你不能仅仅通过CORS配置来做到这一点。

当您在服务器上配置CORS支持时，服务器所做的不同只是发送Access-Control-允许-起源响应标头和其他CORS响应标头。

CORS限制的实际实施仅由浏览器完成。它不是由服务器强制执行的。

该协议的工作方式是，不管您在服务器端进行了什么样的CORS配置，服务器都继续接受来自所有客户端和源端的请求，否则它会这样做——因此来自所有源端的所有客户端都继续从服务器获得响应，就像其他客户端一样会。

因此，即使您在浏览器开发工具中看到一个错误，即来自前端JavaScript代码的跨源请求失败，您仍然能够在浏览器开发工具中看到响应。

但是，仅仅因为您的浏览器可以看到响应，并不意味着浏览器将向您的前端JavaScript代码公开响应。如果请求发送到的服务器选择允许请求，则浏览器仅将跨源请求的响应公开给在特定源运行的前端代码，方法是使用允许该源的Access Control Allow origin头进行响应。

因此，对于具有来源的任何请求请求头匹配https://foreign.domain，问题中的配置片段应该会导致浏览器在客户端发出一条消息，说http://localhost:3000/api/v1/bodies.json无法加载，因为响应中没有访问控制允许源站响应标头（因为您的配置导致服务器仅在响应您的白名单源站时发送该标头）。

但这是你通过CORS所能做的一切。您不能仅仅通过在服务器端执行任何CORS配置来阻止服务器端接受和响应来自特定来源的请求。如果你想这样做，你需要使用CORS以外的东西。