CORS：在GET上没有飞行前准备，但在POST上有飞行前准备

Question

我正在尝试删除应用程序中不必要的飞行前请求。为此，我简化了请求的一些部分，删除了自定义头等，但遇到了一个问题-GET请求现在可以在没有预飞行的情况下正常工作，但POST请求仍然存在。

我遵循了以下要求：

1. 请求未设置自定义HTTP头
2. 内容类型为“文本/纯文本；字符集=utf-8”
3. 请求方法必须是GET、HEAD或POST之一。如果是POST，内容类型应为application/x-www-form-urlencoded、multipart/form-data或text/plain之一

GET和POST请求都通过一个httpinvoke调用。

例如，GET请求不是以飞行前开始的:

URL:＜代码＞http://mydomain/APIEndpoint/GETRequest?Id=346089

请求方法：获取

请求标题:

接受：*/*

接受编码:gzip，deflate

接受-语言：uk-U A， uk； q=0.8， ru； q=0.6， en-US； q=0.4， en； q=0.2

缓存-控制：无-缓存

连接：保持活动

内容类型：文本/纯文本；字符集＝utf-8

主机：正确的主机

来源:< code>http://localhost

Pragma:没有缓存

推荐人:正确的推荐人

User-Agent： Mozilla/5.0 （Windows NT 10.0;Win64;x64） AppleWebKit/537.36 （KHTML， like Gecko） Chrome/60.0.3112.90 Safari/537.36

查询字符串参数：

Id=346089

令牌＝f5h345

还有一个POST请求，看起来非常相似，但仍以飞行前为开头：

网址： http://mydomain/APIEndpoint/GETRequest?param=TEST

申请方式:邮寄

请求标题:

接受：*/*

接受编码:gzip，deflate

接受-语言：uk-U A， uk； q=0.8， ru； q=0.6， en-US； q=0.4， en； q=0.2

缓存-控制：无-缓存

连接：保持活动

内容长度：11

内容类型：文本/纯文本；字符集＝UTF-8

主持人：

来源:< code>http://localhost

Pragma:没有缓存

推荐人：用户代理：Mozilla/5.0（Windows NT 10.0； Win64； x64）AppleWebKit/537.36（KHTML，如Gecko）Chrome /60.0.3112.90Safari /537.36

查询字符串参数：

参数：测试

请求有效载荷

{MyData: {}}

任何建议将不胜感激！谢谢！

==== 更新 ===

根据要求，发布POST请求的飞行前请求：

网址： http://mydomain/APIEndpoint/GETRequest?param=TEST

请求方法：选项

状态代码:200正常

响应标头

访问控制允许来源：*

缓存-控制：无-缓存

内容-长度：0

日期： Wed，09 Aug 2017 08:02:16 GMT

过期：-1

Pragma:没有缓存

服务器：Microsoft-I IS/8.5

x-AspNet-版本:4.0.30319

X-Powered-by：ASP.NET

请求标题

接受：*/*

接受编码:gzip，deflate

接受-语言：uk-U A， uk； q=0.8， ru； q=0.6， en-US； q=0.4， en； q=0.2

访问-控制-请求-方法：POST

缓存-控制：无-缓存

连接：保持活动

主持人：正确的主持人

来源:< code>http://localhost

Pragma:没有缓存

推荐人：正确的推荐人

用户代理：Mozilla/5.0（Windows NT 10.0；Win64；x64）AppleWebKit/537.36（KHTML，如Gecko）Chrome/60.0.3112.90 Safari/537.36

查询字符串参数

参数：测试

它是使用httpinvoke库的遗留代码。实际执行调用的代码片段：

_converters: {
    'text json': function (input, reviver) {},
    'json text': JSON.stringify
};

headers = {
    'Content-Type': 'text/plain; charset=utf-8'
};

data = {params: "test"};

httpinvoke(url, method.toUpperCase(), {
    corsExposedHeaders: ['Content-Type'],
    headers: headers,
    input: data,
    converters: _converters,                
    inputType: 'json',
    outputType: 'json',
    timeout: self._getMessageTimeout()
}).then(function (res) {}, function (error) {});

Answer 1

正如@Anne提到POST发送预检请求的原因，尽管请求本身符合“简单请求”的规则（因此不需要预检）的原因在XMLHttpRequestUpload事件侦听器中。

XMLHttpRequestUpload本身可能不会在代码中提及，但您始终可以在xhr.upload变量中找到它。http-invoke库就是这种情况。

看起来完全无辜的代码是这样的:

< code > xhr . upload . on progress = onuploadpress；

实际上会导致强制性的飞行前请求。

感谢所有帮助解决这个问题的人。

Answer 2

如果在 XMLHttpRequestUpload 对象上注册了事件侦听器（这会强制进行预检;请参阅 https://xhr.spec.whatwg.org/ 中有关 use-CORS-preflight 标志的说明，以及 https://fetch.spec.whatwg.org/ 中的相关注释以及 MDN CORS 文章中有关 CORS 预检请求的更新文档），则可能会发生这种情况。

httpinvoke是这样做的吗？