CORS - 伪造Postman的CORS预检无法返回标题

Question

如果我伪造来自Postman的OPTIONS预检CORS请求,我不会从我的API中获取CORS头.

Answer 1

完全逆向工程Microsoft.Owin.Cors库后,我发现标题不在请求中!

这让我从邮递员的文档中得到了这样的美:

受限制的标题和Cookie

不幸的是,某些标头受Chrome和XMLHttpRequest规范的限制.以下标头被阻止:

Accept-Charset Accept-Encoding访问控制请求标头访问控制请求方法连接内容长度Cookie Cookie 2内容传输编码日期期望主机保持原始参考TE Trailer转移编码升级用户代理通过

https://www.getpostman.com/docs/requests

Aaaaargh.那是我生命中的一天,我不会回来.

Answer 2

我设法使用Postman拦截器让它工作 我的设置如下

Answer 3

我必须检查生产环境中防火墙切断预检请求的问题。我使用邮递员发送 OPTIONS 请求。本文介绍了必须在 OPTIONS 请求中设置哪些标头https://developer.mozilla.org/en-US/docs/Glossary/Preflight_request。就我而言，我添加了：Origin、Referer、Access-Control-Request-Method 和 Access-Control-Request-Headers。如果您错过了一些必需的标头，响应将返回 405 Method Not allowed。如果所有设置正确，则响应为 204 No Content，并且在标头中您将找到标头 Access-Control-Allow-Methods 和 Access-Control-Allow-Headers。浏览器使用这些标头来确认预检请求已被接受并且浏览器可以发送主请求。