跨域事件源

Question

我正在尝试使用nodejs 创建一个EventSource 服务器，它将服务器跨域请求。我正在发回 Access-Control-Allow-Origin 标头，但浏览器（Chrome 或 Opera 也不是）不允许我连接。我发回了一些标头：

this._response.writeHead(200, {
    'Content-Type': 'text/event-stream',
    'Cache-Control': 'no-cache',
    'Connection': 'keep-alive',
    'Access-Control-Allow-Origin': '*',
    'Access-Control-Allow-Credentials': 'true'
});

我怎样才能正确地做到这一点？

问候

Answer 1

Allow-Credentials 不能与 Allow-Origin 设置为 * 一起使用。
考虑在您的响应中写入收到的 Origin-header。

Answer 2

参见 https://github.com/Yaffle/EventSource - 可以采用polyfill来支持Firefox的CORS， Webkit 和 IE 8+

Answer 3

尝试使用以下块代替您的块。浏览器将使用 OPTIONS 调用一次，然后将按预期发出请求。

如果您已经分解了请求方法，则不需要 if 语句 - 但我想给您一个完整的块，以防万一您像 Hello World 例子就是这样。

if (req.method === "OPTIONS") {
    console.log('!OPTIONS');
    var headers = {};
    // IE8 does not allow domains to be specified, just the *
    // headers["Access-Control-Allow-Origin"] = req.headers.origin;
    headers["Access-Control-Allow-Origin"] = "*";
    headers["Access-Control-Allow-Methods"] = "POST, GET, PUT, DELETE, OPTIONS";
    headers["Access-Control-Allow-Credentials"] = false;
    headers["Access-Control-Max-Age"] = '86400'; // 24 hours
    headers["Access-Control-Allow-Headers"] = "X-Requested-With, X-HTTP-Method-Override, Content-Type, Accept";
    res.writeHead(200, headers);
    res.end();
}

Answer 4

如果您使用跨域资源，您会收到安全异常（SECURITY_ERR：DOM 异常18）。这可能是由于：

1. 尝试通过 file:// 访问本地资源（本地文件不通过节点服务器提供）或
2. 尝试从另一台不允许 CORS 的服务器访问资源，或者
3. 您正在测试来自本地文件的页面，而不是来自节点服务器提供的 URL 的页面。

Answer 5

注意：响应 凭据请求请求时，服务器必须在Access-Control-Allow-Origin标头的值中指定来源，而不是指定“*”通配符。

https://developer.mozilla.org/en-US/ docs/Web/HTTP/CORS#simple_requests

所以：（

res.setHeader('Access-Control-Allow-Origin', req.headers.origin)
res.setHeader('Access-Control-Allow-Credentials', 'true')

服务器端）

如果客户端的来源 (req.headers.origin) 是受信任的。

---

或者只需设置 {withCredentials: false} （客户端）并使用 res.setHeader( 'Access-Control-Allow-Origin', '*') 如果您不需要它。