首页 文章

通过CORS政策允许任何内容

提问于
浏览 次
84

我如何禁用角色？由于某种原因，我疯狂地梳理了允许的起源和 Headers 但我的ajax请求仍然抱怨我的CORS政策不允许来源....

我的应用控制器：

class ApplicationController < ActionController::Base
  protect_from_forgery
  before_filter :current_user, :cors_preflight_check
  after_filter :cors_set_access_control_headers

# For all responses in this controller, return the CORS access control headers.

def cors_set_access_control_headers
  headers['Access-Control-Allow-Origin'] = '*'
  headers['Access-Control-Allow-Methods'] = 'POST, GET, OPTIONS'
  headers['Access-Control-Allow-Headers'] = '*'
  headers['Access-Control-Max-Age'] = "1728000"
end

# If this is a preflight OPTIONS request, then short-circuit the
# request, return only the necessary headers and return an empty
# text/plain.

def cors_preflight_check
  if request.method == :options
    headers['Access-Control-Allow-Origin'] = '*'
    headers['Access-Control-Allow-Methods'] = 'POST, GET, OPTIONS'
    headers['Access-Control-Allow-Headers'] = '*'
    headers['Access-Control-Max-Age'] = '1728000'
    render :text => '', :content_type => 'text/plain'
  end
end
  private
  # get the user currently logged in
  def current_user
    @current_user ||= User.find(session[:user_id]) if session[:user_id]
  end
  helper_method :current_user

end

路线：

match "*all" => "application#cors_preflight_check", :constraints => { :method => "OPTIONS" }
  match "/alert" => "alerts#create"
  match "/alerts" => "alerts#get"
  match "/login" => "sessions#create"
  match "/logout" => "sessions#destroy"
  match "/register" => "users#create"

编辑 - -

我也尝试过：

config.middleware.use Rack::Cors do
      allow do
        origins '*'
        resource '*', 
            :headers => :any, 
            :methods => [:get, :post, :delete, :put, :options]
      end
    end

在application.rb中

--edit 2---

问题是我认为Chrome扩展程序可能不支持CORS . 如何绕过CORS获取信息？我该如何回应飞行前检查？

ruby-on-rails cors

7 回答

  • 19

    我对使用rails-api的公共API有相同的要求 .

    我还在前一个过滤器中设置了 Headers . 它看起来像这样：

    headers['Access-Control-Allow-Origin'] = '*'
headers['Access-Control-Allow-Methods'] = 'POST, PUT, DELETE, GET, OPTIONS'
headers['Access-Control-Request-Method'] = '*'
headers['Access-Control-Allow-Headers'] = 'Origin, X-Requested-With, Content-Type, Accept, Authorization'

    您似乎错过了Access-Control-Request-Method标头 .

    回复于
  • 3

    看看rack-cors中间件 . 它将以可配置的方式处理CORS头 .

    回复于
  • 134

    只需添加rack-cors gem https://rubygems.org/gems/rack-cors/versions/0.4.0

    第1步：为您的Gemfile添加gem：

    gem 'rack-cors', :require => 'rack/cors'

    然后保存并运行 bundle install

    第2步：通过添加以下内容来更新config / application.rb文件：

    config.middleware.insert_before 0, Rack::Cors do
      allow do
        origins '*'
        resource '*', :headers => :any, :methods => [:get, :post, :options]
      end
    end

    有关详细信息，请转至https://github.com/cyu/rack-cors如果您不使用rails 5，请特别注意 .

    回复于
  • 6

    我遇到了问题，尤其是Chrome . 你做的看起来基本上就像我在我的应用程序中所做的那样 . 唯一的区别是我在Origin CORS标头中使用正确的主机名而不是通配符 . 在我看来，Chrome对此很挑剔 .

    在开发和 生产环境 之间切换是一件痛苦的事情，所以我写了这个小功能，这有助于我在开发模式和 生产环境 模式 . 以下所有事情都发生在我的 application_controller.rb 中，除非另有说明，否则它可能不是最佳解决方案，但是rack-cors并没有记住原因 .

    def add_cors_headers
  origin = request.headers["Origin"]
  unless (not origin.nil?) and (origin == "http://localhost" or origin.starts_with? "http://localhost:")
    origin = "https://your.production-site.org"
  end
  headers['Access-Control-Allow-Origin'] = origin
  headers['Access-Control-Allow-Methods'] = 'POST, GET, OPTIONS, PUT, DELETE'
  allow_headers = request.headers["Access-Control-Request-Headers"]
  if allow_headers.nil?
    #shouldn't happen, but better be safe
    allow_headers = 'Origin, Authorization, Accept, Content-Type'
  end
  headers['Access-Control-Allow-Headers'] = allow_headers
  headers['Access-Control-Allow-Credentials'] = 'true'
  headers['Access-Control-Max-Age'] = '1728000'
end

    然后我在 application_controller.rb 中有这个小东西，因为我的网站需要登录：

    before_filter :add_cors_headers
before_filter {authenticate_user! unless request.method == "OPTIONS"}

    在我 routes.rb 我也有这个东西：

    match '*path', :controller => 'application', :action => 'empty', :constraints => {:method => "OPTIONS"}

    这个方法看起来像这样：

    def empty
  render :nothing => true
end
    回复于
  • -3

    我之前遇到过类似的问题，结果就是网页浏览器（我的情况下是chrome） .

    如果您使用的是chrome，请尝试启动它：

    对于Windows：

    1）在桌面上创建Chrome的快捷方式 . 右键单击快捷方式并选择“属性”，然后切换到“快捷方式”选项卡 .

    2）在“目标”字段中，附加以下内容：-args -disable-web-security

    对于Mac，打开终端窗口并从命令行运行：open~ / Applications / Google \ Chrome.app/ -args -disable-web-security

    以上信息来自：

    http://documentumcookbook.wordpress.com/2012/03/13/disable-cross-domain-javascript-security-in-chrome-for-development/

    回复于
  • 1

    刚刚在我的rails应用程序中遇到这个问题 . 这里有很多答案给了我一些提示并帮助我最终找到了一个对我来说很好的答案 .

    我正在运行Nginx，它很简单，只需修改my_app.conf文件（其中my_app是你的应用程序名称） . 你可以在 /etc/nginx/conf.d 找到这个文件

    如果你还没有 location / {} ，你可以在 server {} 下添加它，然后在 location / {} 下添加 add_header 'Access-Control-Allow-Origin' '*'; .

    最终格式应如下所示：

    server {
    server_name ...;
    listen ...;
    root ...;

    location / {
        add_header 'Access-Control-Allow-Origin' '*';
    }
}
    回复于
  • 5

    尝试在/config/application.rb配置：

    config.middleware.insert_before 0, "Rack::Cors" do
  allow do
    origins '*'
    resource '*', :headers => :any, :methods => [:get, :post, :options, :delete, :put, :patch], credentials: true
  end
end
    回复于

相关问题