На чьей стороне проблема с JWT авторизацией и CORS?

Question

[Дмитрий]

Никогда раньше не делал авторизацию по JWT. Мне дан сайт, логин и пароль для jwt авторизации. Делаю авторизацию через Xhr, на выходе получаю ошибку

"Access to XMLHttpRequest at 'https://blablabla.ru/' from origin 'localhost:3000' has been blocked by CORS policy: Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource."

На чьей стороне эта блокировка? Со стороны моего браузера или со стороны сайта?

Answer 1

[Егор Скороходов]

Со стороны сервера. Не отдаёт заголовок Access-Control-Allow-Origin

Comments

[Дмитрий]

Если я не через XMLHTTPRequest попробую это сделать - это может изменить ситуацию? Или может какие дополнительные заголовки ему послать?
Сейчас заголовки такие:

xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');

[Егор Скороходов]

Дмитрий, нет, CORS -- это механизм встроенный в браузер, на уровне фронтового js его не обойти. При создании любого запроса со страницы, браузер так же пошлёт OPTIONS запрос к серверу, и если не получит ответ 200 + Access-Control-Allow-Origin заголовок, заблокирует запрос. Самый реалистичный и разумный способ обойти это, при отсутствии доступа к интересующему серверу, - проксировать запросы через свой бэкенд, для которого разрешить кросс-доменные запросы. Т.е. запрос с localhost:3000 идёт, допустим, на localhost:3001/target_url, который проксирует запрос на blablabla.ru/target_url

[Алексей Ярков]

Дмитрий, читать до просветления