Ошибка при запросе данных JSON?

Question

[Андрей]

Доброго времени суток. Ситуация следующая:
есть сайт example.io(к примеру). И с помощью GET запроса к этой странице можно получить данные о конкретном пользователе, указав в запросе его id и данные авторизации. И отправляя запрос через PostMan все работает отлично: запрос уходит, ответ приходит. Но копируя JS код(скрин) из PostMan и пытаясь получить данные в React приложении вываливается ошибка:

Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource. If an opaque response serves your needs, set the request's mode to 'no-cors' to fetch the resource with CORS disabled.

В гуглах и яндексах решение искал, но не нашел. Еще заметил, что при отправке запроса через PostMan каждый раз отправляются новые Cookie. А в реакт приложении куки статичны, возможно в этом причина?

Скрин -

Answer 1

[Aetae]

Не смог нагуглить Access-Control-Allow-Origin? Попробуй ещё раз.
Нельзя слать запросы на чужой сайт, если тот явно этого не разрешает через вышеуказанный заголовок. Иначе любой рандомный сайт списал бы все твои денежки со всех твоих банк-клиентов.

Comments

[Алексей Уколов]

Т.е. путь к богатству, добытому неправедным путём — это бэкэнд-прокси? Интересно получается :)

[Aetae]

Алексей Уколов, у бэкэнд-прокси нет твоих куков, ip и прочего фингерпринта.)

[Алексей Уколов]

Из вашего ответа предполагается, что они откуда-то есть в браузере на левом сайте и этот левый сайт может легко их отправить в «банк» через бэкэнд.

[Aetae]

Алексей Уколов, до всей этой эпопеи с безопасностью все запросы по умолчанию несли с собой твои куки принадлежащие домену-цели. Это сейчас надо всякие withCredentials указывать, помимо кучи всего прочего.

[Андрей]

Нагуглил, а толку? не работает.

[Алексей Уколов]

Андрей, что «не работает»? Вы что сделали? Сайт ваш?

[Андрей]

Алексей Уколов, добавил в header Access-Control-Allow-Origin

[Aetae]

Андрей, чей хэдер? На сервере или в запросе? Если в запросе - то это не имеет смысла: тебе должны разрешить запрос, а не ты заявить "мне всё разрешено, я так сказал!". Если на сервере и сайт твой - то его надо не забыть добавить для ответа на OPTIONS запрос.

[Андрей]

Aetae, добавил в запрос. Правильно понял, что это не решаемо со стороны фронта?

[Aetae]

Андрей, правильно.

[Андрей]

Aetae, понятно, спасибо.