php - habilitar - CORS con Laravel 4

laravel 5.6 cors

Question

Estoy escribiendo una API y usando Laravel 4 para lograrlo. Mi api está en un dominio diferente. Supongamos que es: http://api-example.com/

Y cuando trato de realizar solicitudes ajax a través de Backbone a mi api desde mi aplicación web (es decir, mydomain.com ) con autenticación básica, a veces funciona bien, pero a veces no. Estoy tratando de averiguar por qué. A continuación se muestran mi App::before filtro y la App::after filtro.

App::before(function($request)
{
if($_SERVER[''REQUEST_METHOD''] === ''OPTIONS'') {
$statusCode = 204;
$headers = [
''Access-Control-Allow-Origin'' => ''http://mydomain.com'',
''Allow'' => ''GET, POST, OPTIONS'',
''Access-Control-Allow-Headers'' => ''Origin, Content-Type, Accept, Authorization, X-Requested-With'',
''Access-Control-Allow-Credentials'' => ''true''
];
return Response::make(null, $statusCode, $headers);
}
});

Y mi filtro posterior:

App::after(function($request, $response)
{
$response->headers->set(''Access-Control-Allow-Origin'', ''http://mydomain.com'');
$response->headers->set(''Allow'', ''GET, POST, OPTIONS'');
$response->headers->set(''Access-Control-Allow-Headers'', ''Origin, Content-Type, Accept, Authorization, X-Requested-With'');
$response->headers->set(''Access-Control-Allow-Credentials'', ''true'');
return $response;
});

El problema es que cuando intento realizar una solicitud de publicación para /login con las credenciales, la API comprueba la base de datos y obtiene la clave API para el usuario. Esto está funcionando bien. Pero cuando intento realizar una solicitud POST a /users chrome solo aparece el siguiente error:

XMLHttpRequest cannot load http://api-example.com/users. Origin http://mydomain.com is not allowed by Access-Control-Allow-Origin.

Intenté todo, como configurar Access-Control-Allow-Origin en ''*'' todo lo que pude encontrar desde Internet. Pero nada funcionó hasta ahora. No sé qué debo hacer.

Answer 1

Algunos navegadores pueden negar esto, porque los scripts XSS están haciendo cosas desagradables de esa manera.

Si carga su archivo js desde http://api-example.com/ puede ayudar, pero hay soluciones más estables:

• Puedes usar rizo (o algo similar) o
• Puede usar un proxy (Apache, Nginx, etc.) para su solicitud AJAX para cargar la respuesta del otro host
• O si está utilizando un equilibrador de carga, o cosas de almacenamiento en caché frontend, puede crear una regla ...

Depende de su infraestructura y sus necesidades, pero si el rendimiento es importante, omita la curvatura.

Answer 2

Hay un error en el nombre del encabezado.

header(''Allow'', ''GET, POST, OPTIONS''); // This is wrong.
header(''Access-Control-Allow-Methods'', ''GET, POST, OPTIONS''); // This is right. 

Answer 3

No tiene sentido hacer un objeto de respuesta elegante y devolverlo, y luego dejar que el proceso de la página se ejecute, ya que borrará los encabezados de CORS y continuará con el contenido habitual.

App::before(function($request)
{
if ($_SERVER[''REQUEST_METHOD''] === ''OPTIONS'') {
header(''Access-Control-Allow-Origin'', ''http://mydomain.com'');
header(''Allow'', ''GET, POST, OPTIONS'');
header(''Access-Control-Allow-Headers'', ''Origin, Content-Type, Accept, Authorization, X-Request-With'');
header(''Access-Control-Allow-Credentials'', ''true'');
exit;
}
});