Как поправить проблему с CORS?

Question

[Сергей Попов]

Привет всем.

Возникла проблема с CORS заголовками.
Суть проблемы. Три запроса на один и тот же сервер. Все три запроса отвечают на OPTIONS с одинаковыми cors заголовками. Один из запросов вылетает с браузерной ошибкой из-за отсутствия cors заголовков, хотя они присутствуют в следующем OPTIONS запросе на тот же роут в браузере.

Если необходима доп. информация - в комментарии.

access-control-allow-headers: DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization
access-control-allow-methods: GET, POST, OPTIONS
access-control-allow-origin: *
access-control-max-age: 1728000

Comments

[Владимир Коротенко]

Вы бы дали код запросов и ответов. А пока я отвечу что что то пошло не так

[Сергей Попов]

Владимир Коротенко, что конкретно вам интересно? Код запроса

API_IMAGES.post_images__imageId__rotate({
                imageId: imageId,
                spec: {
                    degrees: degrees
                }
            }).then(({obj}) => {
                this.get_images(true);
                if (typeof (obj.message) === 'string') {
                    this.$message({
                        type: obj.success === true ? 'success' : 'error',
                        message: obj.message
                    });
                }
            }).catch(err => {
                this.error_handler(err, this);
            });

По-факту, запрос- обертка сваггера над axios.

[Владимир Коротенко]

Сергей Попов, это как раз не интересно, что в консоли браузера? Request and response headers

[Сергей Попов]

Владимир Коротенко, Легко.

Запрос POST безуспешный, запрос первый по порядку.

content-type: text/html; charset=UTF-8
date: Thu, 08 Oct 2020 10:26:51 GMT
server: nginx/1.15.9
status: 500
x-powered-by: PHP/7.3.3

REQUEST HEADERS
:authority: *******
:method: POST
:path: /images/476425954/rotate
:scheme: https
accept: */*
accept-encoding: gzip, deflate, br
accept-language: ru-RU,ru;q=0.9,en-US;q=0.8,en;q=0.7,fr;q=0.6
authorization: *******
content-length: 15
content-type: application/json
origin: *******
pragma: no-cache
referer: *******
sec-fetch-dest: empty
sec-fetch-mode: cors
sec-fetch-site: same-site
user-agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.75 Safari/537.36

Запрос OPTIONS - успешный. Второй по порядку.

RESPONSE HEADERS
access-control-allow-headers: *
access-control-allow-methods: *
access-control-allow-origin: *
access-control-max-age: 1728000
content-length: 0
content-type: text/plain; charset=utf-8
date: Thu, 08 Oct 2020 10:26:50 GMT
server: nginx/1.15.9
status: 204

REQUEST HEADERS
:authority: *******
:method: OPTIONS
:path: /images/476425954/rotate
:scheme: https
accept: */*
accept-encoding: gzip, deflate, br
accept-language: ru-RU,ru;q=0.9,en-US;q=0.8,en;q=0.7,fr;q=0.6
access-control-request-headers: authorization,content-type
access-control-request-method: POST
cache-control: no-cache
origin: *******
pragma: no-cache
referer: *******
sec-fetch-dest: empty
sec-fetch-mode: cors
sec-fetch-site: same-site
user-agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.75 Safari/537.36

Второй запрос я не инициирую самостоятельно. Его инициирует браузер и формально он должен быть первым.

[Владимир Коротенко]

Сергей Попов, попробуйте вместо application json text plain. По идее это отключит самодеятельность браузера. Если интересно поищите по моему имени а гугле double request on some api call

[Сергей Попов]

Владимир Коротенко, это стандартное поведение на "сложный" запрос - https://developer.mozilla.org/ru/docs/Web/HTTP/CORS

[Владимир Коротенко]

Сергей Попов, я в курсе, но вы попробуйте, а потом будете разбираться во внутренностях сервера

[GrayHorse]

> status: 500
Это точно про CORS?

Answer 1

[ReActor Дмитрий Вершанский]

Пропишите в htaccess следующую директиву:

Header set Access-Control-Allow-Origin '*'

Comments

[Сергей Попов]

1. Я использую nginx.
2. Я в вопросе написал, какие заголовки возвращаются, я же не совсем дурак)
3. В целом, логично, что если 2 из 3 запросов проходят, то заголовки присутствуют.

Дополню важной информацией. Крашится POST запрос, но он присутствует в allowed-methods

[ReActor Дмитрий Вершанский]

Сергей Попов, я так понял, вы сейчас всех начинающих поголовно назвали дураками...

[Сергей Попов]

Re{Actor} Дмитрий Вершанский, ни в коем случае.
Просто в данной ситуации меня больше всего смущает, что заголовки отправляются как в сложном запросе (см. документацию), но при этом запрос заворачивается браузером, как невалидный.