Ursprungsübergreifende Anforderungsheader (CORS) mit PHP-Headern

Ich habe ein einfaches PHP-Skript, mit dem ich eine domänenübergreifende CORS-Anfrage versuche:

<?php
header("Access-Control-Allow-Origin: *");
header("Access-Control-Allow-Headers: *");
...

Trotzdem bekomme ich immer noch den Fehler:

Anforderungsheaderfeld X-Requested-Withist von nicht zulässigAccess-Control-Allow-Headers

Fehlt mir etwas?

Access-Control-Allow-Headerserlaubt nicht *als akzeptierten Wert, siehe die Mozilla-Dokumentation hier .

Anstelle des Sternchens sollten Sie die akzeptierten Header senden (zuerst, X-Requested-Withwie der Fehler sagt).

Der richtige Umgang mit CORS-Anfragen ist etwas komplizierter. Hier ist eine Funktion, die vollständiger (und korrekter) reagiert.

/**
 *  An example CORS-compliant method.  It will allow any GET, POST, or OPTIONS requests from any
 *  origin.
 *
 *  In a production environment, you probably want to be more restrictive, but this gives you
 *  the general idea of what is involved.  For the nitty-gritty low-down, read:
 *
 *  - https://developer.mozilla.org/en/HTTP_access_control
 *  - http://www.w3.org/TR/cors/
 *
 */
function cors() {

    // Allow from any origin
    if (isset($_SERVER['HTTP_ORIGIN'])) {
        // Decide if the origin in $_SERVER['HTTP_ORIGIN'] is one
        // you want to allow, and if so:
        header("Access-Control-Allow-Origin: {$_SERVER['HTTP_ORIGIN']}");
        header('Access-Control-Allow-Credentials: true');
        header('Access-Control-Max-Age: 86400');    // cache for 1 day
    }

    // Access-Control headers are received during OPTIONS requests
    if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {

        if (isset($_SERVER['HTTP_ACCESS_CONTROL_REQUEST_METHOD']))
            // may also be using PUT, PATCH, HEAD etc
            header("Access-Control-Allow-Methods: GET, POST, OPTIONS");         

        if (isset($_SERVER['HTTP_ACCESS_CONTROL_REQUEST_HEADERS']))
            header("Access-Control-Allow-Headers: {$_SERVER['HTTP_ACCESS_CONTROL_REQUEST_HEADERS']}");

        exit(0);
    }

    echo "You have CORS!";
}

Ich habe den gleichen Fehler erhalten und ihn mit dem folgenden PHP in meinem Back-End-Skript behoben:

header('Access-Control-Allow-Origin: *');

header('Access-Control-Allow-Methods: GET, POST');

header("Access-Control-Allow-Headers: X-Requested-With");

Viele Beschreibungen im Internet erwähnen nicht, dass die Angabe Access-Control-Allow-Originnicht ausreicht. Hier ist ein vollständiges Beispiel, das für mich funktioniert:

<?php
    if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
        header('Access-Control-Allow-Origin: *');
        header('Access-Control-Allow-Methods: POST, GET, DELETE, PUT, PATCH, OPTIONS');
        header('Access-Control-Allow-Headers: token, Content-Type');
        header('Access-Control-Max-Age: 1728000');
        header('Content-Length: 0');
        header('Content-Type: text/plain');
        die();
    }

    header('Access-Control-Allow-Origin: *');
    header('Content-Type: application/json');

    $ret = [
        'result' => 'OK',
    ];
    print json_encode($ret);

Ich habe es einfach geschafft, Dropzone und andere Plugins mit diesem Fix zum Laufen zu bringen (AngularJS + PHP Backend).

 header('Access-Control-Allow-Origin: *'); 
    header("Access-Control-Allow-Credentials: true");
    header('Access-Control-Allow-Methods: GET, PUT, POST, DELETE, OPTIONS');
    header('Access-Control-Max-Age: 1000');
    header('Access-Control-Allow-Headers: Origin, Content-Type, X-Auth-Token , Authorization');

füge dies in deine upload.php ein oder wohin du deine Anfrage senden würdest (zum Beispiel wenn du upload.html hast und die Dateien an upload.php anhängen musst, dann kopiere und füge diese 4 Zeilen ein). Auch wenn Sie CORS-Plugins / Addons in Chrome / Mozilla verwenden, müssen Sie diese mehrmals umschalten, damit CORS aktiviert wird

Wenn Sie einen CORS-Dienst aus PHP erstellen möchten, können Sie diesen Code als ersten Schritt in Ihrer Datei verwenden, der die Anforderungen verarbeitet:

// Allow from any origin
if(isset($_SERVER["HTTP_ORIGIN"]))
{
    // You can decide if the origin in $_SERVER['HTTP_ORIGIN'] is something you want to allow, or as we do here, just allow all
    header("Access-Control-Allow-Origin: {$_SERVER['HTTP_ORIGIN']}");
}
else
{
    //No HTTP_ORIGIN set, so we allow any. You can disallow if needed here
    header("Access-Control-Allow-Origin: *");
}

header("Access-Control-Allow-Credentials: true");
header("Access-Control-Max-Age: 600");    // cache for 10 minutes

if($_SERVER["REQUEST_METHOD"] == "OPTIONS")
{
    if (isset($_SERVER["HTTP_ACCESS_CONTROL_REQUEST_METHOD"]))
        header("Access-Control-Allow-Methods: POST, GET, OPTIONS, DELETE, PUT"); //Make sure you remove those you do not want to support

    if (isset($_SERVER["HTTP_ACCESS_CONTROL_REQUEST_HEADERS"]))
        header("Access-Control-Allow-Headers: {$_SERVER['HTTP_ACCESS_CONTROL_REQUEST_HEADERS']}");

    //Just exit with 200 OK with the above headers for OPTIONS method
    exit(0);
}
//From here, handle the request as it is ok

CORS kann zu Kopfschmerzen werden, wenn wir seine Funktionsweise nicht richtig verstehen. Ich benutze sie in PHP und sie funktionieren ohne Probleme. Referenz hier

header("Access-Control-Allow-Origin: *");
header("Access-Control-Allow-Credentials: true");
header("Access-Control-Max-Age: 1000");
header("Access-Control-Allow-Headers: X-Requested-With, Content-Type, Origin, Cache-Control, Pragma, Authorization, Accept, Accept-Encoding");
header("Access-Control-Allow-Methods: PUT, POST, GET, OPTIONS, DELETE");

So viel Code funktioniert für mich, wenn ich Angular 4 als Client-Seite und PHP als Server-Seite verwende.

header("Access-Control-Allow-Origin: *");

das sollte funktionieren

header("Access-Control-Allow-Origin: *");
header("Access-Control-Allow-Headers: X-Requested-With, Content-Type, Origin, Cache-Control, Pragma, Authorization, Accept, Accept-Encoding");

Fügen Sie diesen Code in .htaccess hinzu

Fügen Sie im Header benutzerdefinierte Authentifizierungsschlüssel wie app_key, auth_key..etc hinzu

Header set Access-Control-Allow-Origin "*"
Header set Access-Control-Allow-Headers: "customKey1,customKey2, headers, Origin, X-Requested-With, Content-Type, Accept, Authorization"

Fügen Sie diesen Befehl in Windows vorerst in das Ausführungsfenster ein, um den Code zu testen

chrome.exe --user-data-dir = "C: / Chrome-Entwicklersitzung" --disable-web-security