CORSrajoitukset

CORSrajoitukset (Cross-Origin Resource Sharing) ovat verkkoselainten turvamekanismi, jonka tarkoituksena on kontrolloida, mitkä verkkosivuston alkuperät voivat hakea resursseja toisilta verkkotunnuksilta. Ne estävät luvattomien sivustojen tekemät cross-origin-pyynnöt, ellei kohteena olevan palvelimen vastaukset sitä erikseen salli.

Toimintaperiaate perustuu siihen, että selain rajoittaa toisen alkuperän pyyntöjä. Kun pyyntö kohdistuu toiselle verkkotunnukselle, selain tarkistaa vastauksen Access-Control-Allow-Origin-otsakkeesta sekä mahdollisesti muista CORS-otsakkeista. Mikäli pyyntö vaatii preflightin, suoritetaan ennen varsinaista pyyntöä niin sanottu OPTIONS-pyyntö, jossa määritellään sallitut metodit ja otsakkeet. Jos sallitut ehdot täyttyvät, selain suorittaa varsinaisen pyynnön.

Tärkeitä otsakkeita ovat Access-Control-Allow-Origin, Access-Control-Allow-Methods ja Access-Control-Allow-Headers. Access-Control-Allow-Credentials voi olla true, jos sivusto sallii lähetettävät tunnistetiedot, ja Access-Control-Max-Age määrittelee preflight-vastauksen voimassaoloajan.

Rajoitusten käytännön toteutus: alkuperä voidaan sallia tarkasti tietynä osoitteena tai luoda kattava, mutta rajoitettu lista. Jos käytetään tunnistetietoja tai sessioarvoja, wildcard-merkintä * ei ole sallittu; palvelimen on palautettava exact-origin-arvo. CORS ei kuitenkaan ole kaikkien hyökkäysten estävä turvallisuusmekanismi, vaan selaimen rajoitus; palvelimen on silti toteutettava asianmukainen back-end-tarkistus.

Yleisiä ongelmia ovat virheellisesti konfiguroidut otsakkeet tai puuttuvat sallitut otsakkeet. Debugging tapahtuu yleensä selaimen kehitystyökaluilla ja verkon seurannalla; joissain tapauksissa voidaan tarvita välipalvelinta kehitysvaiheessa.