barryvdh/laravel-cors配置在Laravel 5.6中不起作用；忽略“允许的方法”

Question

我已经在我的laravel 5.6应用程序中安装了barryvdh/laravel cors包，并在app\Http\Kernel.php中将相关行添加到我的middeware组中，并按照说明发布了配置文件。

我在VerifyCsrfToken.php中禁用了api路由的CSRF检查

protected $except = [
    'api'
];

我将配置文件设置如下:

'supportsCredentials' => false,
'allowedOrigins' => ['https://developer.mozilla.org'],
'allowedHeaders' => ['Content-Type', 'X-Requested-With'],
'allowedMethods' => ['GET', 'POST', 'PUT',  'DELETE']
'exposedHeaders' => [],
'maxAge' => 0,

…并且我已经在Postman中使用“Origin:https://developer.mozilla.org”。

它正在工作 - 很好。如果我将该 Origin 密钥更改为除 https://developer.mozilla.org 以外的任何内容，它会抛出“CORS 策略中不允许”错误。这就是我所期望的，根据配置-罚款。

但是如果我将配置行更改为

'allowedMethods' => ['GET']

（即只允许 GET 请求），并在 Postman 中运行相同的 POST 请求......它仍然有效。

为什么？为什么它不尊重配置中对allowed方法施加的限制？

Answer 1

在CORS协议中，服务器本身从不执行任何阻塞-

因此，设置 allowMethods 的唯一效果是使服务器发送具有特定值的 Access-Control-Allow-Methods 标头。否则，它不会使服务器本身进行阻塞。

浏览器仅在对CORS预验证OPTIONS请求的响应中检查该标头的值。因此，仅在这种情况下，如果OPTIONS响应中的Access-Control-Allow-方法的值不包含与您的代码尝试使用的方法匹配，预验证就会失败。

但是，如果您的前端代码的请求不是触发预检的请求，浏览器会直接发送它，即使< code>allowedMethods的值集不包括您的代码使用的请求方法名称。

换句话说，在前端代码中有POST请求的情况下，不会发送或接收Access-Control-Allow-方法，但POST没有触发预检的特征。因此，在这种情况下，浏览器永远不会查阅Access-Control-Allow-方法标头的值。

https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS#Preflighted_requests 列出了将触发 CORS 预检的特征，但在 POST 或 GET 请求的情况下，它基本上相当于您的代码是否向请求添加了任何自定义标头。