Почему не работает крос доменный запрос?

Question

[ff0xff]

Доброе всем время суток, пытаюсь сделать крос доменный запрос
тестирую в Firefox Quantum

$.ajax({
                url: url,
                xhrFields: {
                    withCredentials: true
                },
                success: function(data) {
                    data = JSON.parse(data);
                    console.log(data);
                    if (data.length == 0) {
                        console.log('Came an empty array');
                        $("detailing").html(' <div class="row"><div class="col-sm-12"><center><h3>Нет детализации</h3></center></div></div>');
                    }
                }
            });

делаю GET запрос на домен

Host: parser.test1.isan.pro
User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:64.0) Gecko/20100101 Firefox/64.0
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: http://localhost/index.php/admin/phones
Origin: http://localhost
DNT: 1
Connection: keep-alive

Получаю ответ:

HTTP/1.1 200 OK
Date: Fri, 14 Dec 2018 06:06:15 GMT
Server: Apache/2.4.18 (Ubuntu)
Cache-Control: no-cache, private
Access-Control-Allow-Origin: *
Access-Control-Allow-Methods: GET, OPTIONS, HEAD
X-Debug-Token: 78a6a1
X-Debug-Token-Link: http://example.pro/index.php/_profiler/78a6a1
Content-Length: 2
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Content-Type: application/json

Не смотря на то что указаны заголовки

Access-Control-Allow-Origin: *
Access-Control-Allow-Methods: GET, OPTIONS, HEAD

И приходит ответ ( тело ответа можно прочитать там нормальный json )
В консоли js всеравно выводит сообщение

Cross-Origin Request Blocked: The Same Origin Policy disallows reading the remote resource at example.pro/index.php/api/phone?number=96176214270. (Reason: CORS header ‘Access-Control-Allow-Origin’ does not match ‘*’).[Подробнее]

И скрипт падает... Почему так происходит как это победить? заголовками это не лечится и я не знаю что делать.
Какие есть идеи?

Comments

[RAX7]

https://developer.mozilla.org/ru/docs/Web/HTTP/COR...

Так же, вы можете разрешить доступ любому сайту подставив "*". Подстановка "*" должна использоваться только для публичных APIs. В частных APIs, "*" не должна использоваться, вместо этого должен быть установлен определенный домен или домены. В дополнение, эта подстановка работает только для запросов с атрибутом {{htmlattrxref ("crossorigin")}}, установленным на "anonymous".

[ff0xff]

RAX7, Блин, можете пояснить мне надо заголовки получается передать в запросе
crossorigin: anonymous я правильно понял?

[RAX7]

Насколько я понял
Access-Control-Allow-Origin: * работает только с запросами вида

<link rel="stylesheet" href="style.css" crossorigin="anonymous">
<script src="script.js" crossorigin="anonymous"></script>

то есть, чтобы с CDN скрипты и стили тянуть.
Попробуй Access-Control-Allow-Headers: x-requested-with, говорят помогает.
https://stackoverflow.com/a/5753269

Answer 1

[Дмитрий Беляев]

у Вас стоит опция withCredentials: true - которая говорит браузеру, что Вы хотите отправлять куки стороннему ресурсу. В этом плане более строгая политика CORS:
1. заголовок ответа Access-Control-Allow-Origin не может быть вилдкард (*), сервер должен отвечать точным origin
2. должен присутствовать заголовок ответа Access-Control-Allow-Credentials: true

по итогу сервер должен ответить следующими заголовками:
Access-Control-Allow-Origin: {request.headers.Origin}
Access-Control-Allow-Methods: GET, OPTIONS, HEAD
Access-Control-Allow-Credentials: true

где {request.headers.Origin} - заголовок Origin из запроса

Answer 2

[Александр Алексеев]

гугл хром?
у него есть проблемы например с подргузкой аяксом из локального файла
нужно вырубать какой то пунктик в глубоких настройках

Comments

[ff0xff]

У меня не локальные файлы а удаленные

[Александр Алексеев]

ff0xff, во всех браузерах проблема?

[ff0xff]

shure348, Да

Answer 3

[Rhesus Negative]

вставь в обработчик в самое начало header('Access-Control-Allow-Origin: *');
и отправляй jsonp
мне помогло

Comments

[ff0xff]

Неа не помогло