不能在用户API后面对App Engine使用Javascript获取

Question

我有一个Flask应用程序，只有应用程序引擎项目的管理员才能使用以下应用程序访问它。yaml：

version: 1
runtime: python27
api_version: 1
threadsafe: true

handlers:
- url: /.*
  script: app.py
  secure: always
  login: admin

在我的应用程序中，我有一个endpoint，它只是返回一些JSON：

@app.route('/api/v1/data')
def api():
    return jsonify(data)

在我的前端，我尝试用Javascript获取JSON数据（当我运行“普通”flask服务器时，它工作得非常好）：

fetch('/api/v1/data')
.then(function (response) {
    console.log(response)
    return response.json();
  }).then(function (myData) {
    doSomethingWithData(myData);
  });

但是，我无法获取数据。使用本地服务器时，出现以下错误：

(index):1 Uncaught (in promise) SyntaxError: Unexpected token < in JSON at position 0

响应似乎说我没有登录，并在控制台日志中给我一个url（注意：我没有在任何地方添加任何类型的回调，我认为这来自用户API）：

http://127.0.0.1:5000/_ah/login?continue=http%3A//127.0.0.1%3A5000/api/v1/data

在部署的应用程序上，我得到：

Fetch API cannot load https://www.google.com/accounts/ServiceLogin?service=ah&passive=true&contin....
Redirect from 'https://www.google.com/accounts/ServiceLogin?service=ah&passive=true&contin...'
to 'https://accounts.google.com/ServiceLogin?service=ah&passive=true&continue=...'
has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the
requested resource. Origin 'https://....appspot.com' is therefore not allowed access.
If an opaque response serves your needs, set the request's mode to 'no-cors' to fetch the
resource with CORS disabled.

我尝试将CORS添加到fetch调用和flask响应中，但没有成功。在谷歌上也找不到任何关于它的信息，所以任何帮助都将不胜感激！

Answer 1

'

您没有在函数中定义data，所以这可能是问题所在。你能给我们看一下那个代码吗？

@app.route('/api/v1/data')
def api():
    data = ....
    return jsonify(data)

并且，对该url的回调将没有管理员权限，因此login： admin不能在那里使用。尝试：

handlers:
- url: /api/v1/data
  script: app.py
  #secure: always # if you use this, make sure you specify an https callback url: http://127.0.0.1:5000/_ah/login?continue=https%3A//127.0.0.1%3A5000/api/v1/data (when deployed with production url)

- url: /.*
  script: app.py
  secure: always
  login: admin

然后，继续=https://127.0.0.1:5000/api/v1/data无法从Google API工作，因为他们无法访问您的本地开发服务器。

Answer 2

我在进一步调试后发现了问题。

默认情况下，Javascript获取API不发送Cookie。而且，由于Google App Engine的用户API使用Cookie来登录会话，fetch发出的请求似乎未经验证。要随请求一起发送Cookie，您必须将具有“相同来源”的请求凭据添加到提取调用：

fetch('/api/v1/data', { credentials: 'same-origin' })