Mopidy: स्थिर फ़ाइल संपत्तियों के लिए गुम CORS प्रतिक्रिया शीर्षलेख

को निर्मित 28 दिस॰ 2020 · 7टिप्पणियाँ · स्रोत: mopidy/mopidy

बग का वर्णन करें
स्थिर फ़ाइल हैंडलर की http प्लगइन के लिए अतिरिक्त हेडर अनुपलब्ध Access-Control-Allow-* । यह JSON-RPC हैंडलर के लिए पहले से ही सही ढंग से किया गया है।
मुद्दा यह है कि सीओआरएस मुद्दों के कारण स्थिर संपत्ति प्राप्त करना संभव नहीं है, यहां तक कि अनुरोध मूल को भी श्वेतसूची में डाल दिया गया है।

कैसे पुन: पेश करें
सुनिश्चित करें कि आप जिस डोमेन का उपयोग कर रहे हैं वह कॉन्फ़िगरेशन में श्वेतसूची में है:

[http]
allowed_origins = localhost:8080

क्लाइंट लॉन्च करें, कंसोल खोलें और उस संपत्ति को लाने का प्रयास करें जिसे आप जानते हैं:

fetch('http://localhost:6080/local/feecccb956b1764b8245244611a61e15-600x600.jpeg')

यह निम्न प्रकार की त्रुटि देगा:

Access to fetch at 'http://localhost:6680/data/local/feecccb956b1764b8245244611a61e15-600x600.jpeg' from origin 'http://localhost:8080' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource. If an opaque response serves your needs, set the request's mode to 'no-cors' to fetch the resource with CORS disabled.

अपेक्षित व्यवहार
यदि अनुरोध मूल श्वेतसूची में है, तो क्रॉस मूल अनुरोधों को स्थिर संपत्तियों के लिए काम करना चाहिए।

वातावरण
निम्नलिखित जानकारी को पूरा करें:

ऑपरेटिंग सिस्टम: 5.9.4-arch1-1
Mopidy को सेवा के रूप में या टर्मिनल में चला रहे हैं? service
आपका कॉन्फिग ( sudo mopidyctl config का आउटपुट): कमांड फेल हो जाता है
सॉफ़्टवेयर संस्करण ( sudo mopidyctl deps का आउटपुट): कमांड विफल रहता है

अतिरिक्त संदर्भ
मुझे लगता है कि StaticFileHandler के set_extra_headers() फ़ंक्शन को विस्तारित करके समस्या को हल करना काफी आसान होना चाहिए क्योंकि यह पहले से ही यहां किया जा चुका है। क्या वो सही है?

C-bug A-http good first issue

स्रोत

weilbith

सबसे उपयोगी टिप्पणी

मुझे लगता है कि यह काफी अलग-थलग है, लेकिन हाँ, टॉरनेडो पर एक नज़र डालने की आवश्यकता है, इसलिए कोई चिंता नहीं, इसकी रिपोर्ट करने के लिए धन्यवाद।

kingosticks 7 जन॰ 2021

❤2

सभी 7 टिप्पणियाँ

दुर्भाग्य से एक्सेस-कंट्रोल-अनुमति-उत्पत्ति हेडर केवल एक मान की अनुमति देता है। जब हम अपनी कॉन्फ़िगर की गई सूची से कई मानों का समर्थन करना चाहते हैं तो यह थोड़ा मुश्किल हो जाता है:

संभावित एक्सेस-कंट्रोल-अनुमति-उत्पत्ति मूल्यों को अनुमत उत्पत्ति के एक सेट तक सीमित करने के लिए सर्वर पक्ष पर कोड की आवश्यकता होती है ताकि मूल अनुरोध शीर्षलेख के मूल्य की जांच की जा सके, इसकी तुलना अनुमत उत्पत्ति की सूची से करें, और फिर यदि मूल मान अंदर है सूची, एक्सेस-कंट्रोल-अनुमति-उत्पत्ति मान को मूल मान के समान मान पर सेट करने के लिए।

और यह और भी बुरा है क्योंकि, जैसा कि मैं इसे समझता हूं, आप उनके मूल अनुरोध शीर्षलेख होने पर भरोसा नहीं कर सकते जब तक कि यह एक CORS अनुरोध न हो । और आप किसी भी HTTPS अनुरोधों के लिए रेफरर हेडर होने पर भी भरोसा नहीं कर सकते हैं (जो उपयोग करने के लिए वैकल्पिक शीर्षलेख होगा)। यही कारण है कि काफी जटिल सीएसआरएफ सुरक्षा कोड का कारण बनता है जो सुनिश्चित करता है कि सबकुछ प्रीफ्लाइट सीओआरएस नृत्य करता है (नोट: मुझे लगता है कि यह तब से बदल गया है और सभी ब्राउज़र पोस्ट अब मूल शीर्षलेख प्राप्त करते हैं?) संदेह है कि हम यहाँ चाहते हैं।

चूंकि StaticFileHandler केवल 'सुरक्षित' जीईटी अनुरोधों से संबंधित है, शायद प्रतिक्रिया शीर्षलेख "पहुंच-नियंत्रण-अनुमति-उत्पत्ति: *" सेट करना ठीक है?

kingosticks 1 जन॰ 2021

इसके बारे में अधिक सोचने के बावजूद (ना चाहते हुए भी), यह कहना सुरक्षित है कि CORS नीति को बनाए रखने से संबंधित किसी भी ब्राउज़र ने एक मूल शीर्षलेख भेजा होगा। तो हम मूल शीर्षलेख सेट होने के आधार पर सशर्त रूप से check_origin() कर सकते हैं, और फिर यदि अनुमति दी जाती है, तो शीर्षलेख मान को सामान्य रूप से एक्सेस-कंट्रोल-अनुमति-उत्पत्ति प्रतिक्रिया शीर्षलेख में कॉपी करें। यदि कोई मूल शीर्षलेख नहीं है, तो हमारा व्यवहार अपरिवर्तित हो सकता है।

kingosticks 1 जन॰ 2021

इस बारे में और अधिक सोचना (ना चाहते हुए भी)

मुझे क्षमा करें। :कोई बुराई नही दिखी:

ठीक है, तो स्थिर संपत्तियों के बारे में अब क्या खास है? हम पहले से मौजूद सभी शांत तर्कों का फिर से उपयोग क्यों नहीं कर सकते। मेरा मतलब है कि अगर मैं गलत नहीं हूं तो मूल हेडर आदि पीपी के लिए सभी चेक पहले से ही हैं। क्या हम इसका उपयोग सशर्त रूप से हेडर सेट नहीं कर सकते? :विचारधारा:

weilbith 2 जन॰ 2021

केवल GET अनुरोध और CORS नीति POST जैसे दुष्प्रभावों के साथ 'असुरक्षित' तरीकों के लिए CRSF सुरक्षा के समान नहीं है। वे अलग-अलग समस्याएं हैं और समाधान बिल्कुल एक जैसा नहीं है।

लेकिन हम इसमें से अधिकांश का पुन: उपयोग कर सकते हैं हां, यही मैं अपने दूसरे संदेश में कहने की कोशिश कर रहा था।

kingosticks 2 जन॰ 2021

😄1

क्या मेरा आखिरी संदेश समझ में आया? क्या आप फिक्स को लागू करना पसंद करते हैं या क्या मैं इसे करने के लिए चीजों की सूची में जोड़ दूंगा?

kingosticks 7 जन॰ 2021

हाँ यह समझ में आता है। :स्माइली:

अच्छा होगा यदि आप इसे सूची में जोड़ सकते हैं। हालांकि मैं कोड को देखने और समझने में सक्षम था कि क्या गुम है, मुझे यहां उपयोग किए जाने वाले ढांचे के बारे में बहुत कम जानकारी है और मुझे क्या ध्यान रखना होगा। माफ़ करना। :कोई बुराई नही दिखी:

weilbith 7 जन॰ 2021

kingosticks 7 जन॰ 2021

❤2

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Mopidy: स्थिर फ़ाइल संपत्तियों के लिए गुम CORS प्रतिक्रिया शीर्षलेख

सबसे उपयोगी टिप्पणी

सभी 7 टिप्पणियाँ

संबंधित मुद्दों