comment contourner le contrôle d'accès "autoriser l'origine" ?

Question

Je fais un appel ajax vers mon propre serveur sur une plateforme qui a été configurée pour empêcher ces appels ajax (mais j'ai besoin qu'elle récupère les données de mon serveur pour afficher les données récupérées dans la base de données de mon serveur). Mon script ajax fonctionne, il peut envoyer les données vers le script php de mon serveur pour lui permettre de les traiter. Cependant, il ne peut pas récupérer les données traitées car il est bloqué par "Access-Control-Allow-Origin"

Je n'ai pas accès aux sources/core de cette plateforme. Je ne peux donc pas supprimer le script qui m'empêche de le faire. (P/S J'ai utilisé la console de Google Chrome et j'ai trouvé cette erreur)

Le code Ajax est présenté ci-dessous :

 $.ajax({
     type: "GET",
     url: "http://example.com/retrieve.php",
     data: "id=" + id + "&url=" + url,
     dataType: 'json',   
     cache: false,
     success: function(data)
      {
        var friend = data[1];              
        var blog = data[2];           
        $('#user').html("<b>Friends: </b>"+friend+"<b><br> Blogs: </b>"+blog);

      } 
  });

ou existe-t-il un JSON code équivalent à l'ajax script ci-dessus ? Je pense JSON est autorisé.

J'espère que quelqu'un pourra m'aider.

Answer 1

Mettez ça au dessus de retrieve.php :

header('Access-Control-Allow-Origin: *');

Notez que cela désactive effectivement la protection CORS, et laisse vos utilisateurs exposés aux attaques. Si vous n'êtes pas tout à fait certain de la nécessité d'autoriser le tous origines, vous devriez verrouiller cela à une origine plus spécifique :

header('Access-Control-Allow-Origin: https://www.example.com');

Veuillez vous référer à la réponse de la pile suivante pour mieux comprendre les éléments suivants Access-Control-Allow-Origin

https://stackoverflow.com/a/10636765/413670

Answer 2

D'accord, mais vous savez tous que l'astérisque (*) est un caractère générique et qu'il permet l'exécution de scripts intersites à partir de tous les domaines ?

Vous souhaitez envoyer plusieurs Access-Control-Allow-Origin pour chaque site autorisé à le faire, mais malheureusement, il n'est pas officiellement possible d'envoyer plusieurs en-têtes Access-Control-Allow-Origin ou pour mettre en place des origines multiples.

Vous pouvez résoudre ce problème en vérifiant l'origine, et en renvoyant celle-là dans l'en-tête, si elle est autorisée :

$origin = $_SERVER['HTTP_ORIGIN'];
$allowed_domains = [
    'http://mysite1.com',
    'https://www.mysite2.com',
    'http://www.mysite2.com',
];

if (in_array($origin, $allowed_domains)) {
    header('Access-Control-Allow-Origin: ' . $origin);
}

C'est beaucoup plus sûr. Vous pouvez modifier la correspondance et la transformer en une fonction manuelle avec une expression rationnelle, ou quelque chose de ce genre. Au moins, cela ne renverra qu'un seul en-tête, et vous serez sûr que c'est celui d'où provient la demande. Veuillez noter que tous les en-têtes HTTP peut peuvent être usurpés, mais cet en-tête est pour la protection du client. Ne protégez pas vos propres données avec ces valeurs. Si vous voulez en savoir plus, lisez un peu sur CORS et CSRF.

Pourquoi est-ce plus sûr ?

Autoriser l'accès à partir d'autres sites que votre propre site de confiance permet le détournement de session. Je vais prendre un petit exemple - l'image Facebook permet une origine joker - cela signifie que vous pouvez créer votre propre site web quelque part, et lui faire lancer des appels AJAX (ou ouvrir des iframes) vers facebook. Cela signifie que vous pouvez récupérer les informations de connexion du facebook d'un visiteur de votre site web. Pire encore - vous pouvez script POST demande et publie des données sur le facebook de quelqu'un - juste pendant qu'il navigue sur votre site web.

Soyez très prudent lorsque vous utilisez le ACAO Les en-têtes !

Answer 3

J'ai résolu ce problème en appelant un contrôleur MVC3. J'ai ajouté :

Response.AddHeader("Access-Control-Allow-Origin", "*"); 

avant mon

return Json(model, JsonRequestBehavior.AllowGet);

Et aussi mon $.ajax se plaignait du fait qu'il n'accepte pas Type de contenu dans mon appel ajax, je l'ai donc commenté car je sais que c'est du JSON qui est transmis à l'action.

J'espère que cela vous aidera.

Answer 4

Cela fonctionne comme un charme pour moi dans ma version mobile :

De http://m.example.com Je n'ai pas pu atteindre un fichier .php à partir de mon ordinateur. http://example.com

J'ai donc modifié mon fichier .php comme suit :

header('Access-Control-Allow-Origin: http://m.example.com');

Fonctionne très bien ! Merci

Answer 5

Avez-vous essayé d'ajouter l'en-tête Access-Control-Allow-Origin à la réponse envoyée par votre serveur ? Par exemple, Access-Control-Allow-Origin: * ?