395

如何使用 cURL 调试 CORS 请求？到目前为止，我找不到任何方法来“模拟”预检请求。

4

5 回答 5

622

以下是使用 curl 调试 CORS 请求的方法。

使用 cUrl 发送常规 CORS 请求：

curl -H "Origin: http://example.com" --verbose \
  https://www.googleapis.com/discovery/v1/apis?fields=

该-H "Origin: http://example.com"标志是发出请求的第三方域。替换您的域。

该--verbose标志打印出整个响应，因此您可以看到请求和响应标头。

我在上面使用的 url 是对支持 CORS 的 Google API 的示例请求，但您可以替换您正在测试的任何 url。

响应应包括Access-Control-Allow-Origin标题。

使用 cUrl 发送预检请求：

curl -H "Origin: http://example.com" \
  -H "Access-Control-Request-Method: POST" \
  -H "Access-Control-Request-Headers: X-Requested-With" \
  -X OPTIONS --verbose \
  https://www.googleapis.com/discovery/v1/apis?fields=

这看起来类似于常规的 CORS 请求，但添加了一些内容：

-H标志向服务器发送额外的预检请求标头

该-X OPTIONS标志表明这是一个 HTTP OPTIONS 请求。

如果预检请求成功，则响应应包含Access-Control-Allow-Origin、Access-Control-Allow-Methods和 Access-Control-Allow-Headers响应标头。如果预检请求不成功，则不应出现这些标头，否则 HTTP 响应不会为 200。

User-Agent您还可以使用-H标志指定其他标头，例如。

于 2012-08-29T13:42:42.270 回答
88

涵盖大多数情况的更新答案

curl -H "Access-Control-Request-Method: GET" -H "Origin: http://localhost" --head http://www.example.com/
  1. 将http://www.example.com/替换为您要测试的 URL。
  2. 如果响应包括Access-Control-Allow-*，则您的资源支持 CORS。

替代答案的理由

我时不时地用谷歌搜索这个问题，而接受的答案从来都不是我需要的。首先它打印响应正文，其中包含大量文本。仅添加--head输出标题。其次，在测试 S3 URL 时，我们需要提供额外的 header -H "Access-Control-Request-Method: GET"。

希望这会节省时间。

于 2017-12-02T16:22:14.203 回答
6

好像这行得通：

curl -I http://example.com

Access-Control-Allow-Origin: *在返回的标头中查找

于 2019-01-09T00:41:06.793 回答
5

下面的 bash 脚本“corstest”对我有用。它基于Jun的上述评论。

用法

corstest [-v] 网址

例子

./corstest https://api.coindesk.com/v1/bpi/currentprice.json
https://api.coindesk.com/v1/bpi/currentprice.json Access-Control-Allow-Origin: *

阳性结果显示为绿色

./corstest https://github.com/IonicaBizau/jsonrequest
https://github.com/IonicaBizau/jsonrequest does not support CORS
you might want to visit https://enable-cors.org/ to find out how to enable CORS

否定结果显示为红色和蓝色

-v 选项将显示完整的 curl 标头

最好的

#!/bin/bash
# WF 2018-09-20
# https://stackoverflow.com/a/47609921/1497139

#ansi colors
#http://www.csc.uvic.ca/~sae/seng265/fall04/tips/s265s047-tips/bash-using-colors.html
blue='\033[0;34m'  
red='\033[0;31m'  
green='\033[0;32m' # '\e[1;32m' is too bright for white bg.
endColor='\033[0m'

#
# a colored message 
#   params:
#     1: l_color - the color of the message
#     2: l_msg - the message to display
#
color_msg() {
  local l_color="$1"
  local l_msg="$2"
  echo -e "${l_color}$l_msg${endColor}"
}


#
# show the usage
#
usage() {
  echo "usage: [-v] $0 url"
  echo "  -v |--verbose: show curl result" 
  exit 1 
}

if [ $# -lt 1 ]
then
  usage
fi

# commandline option
while [  "$1" != ""  ]
do
  url=$1
  shift

  # optionally show usage
  case $url in      
    -v|--verbose)
       verbose=true;
       ;;          
  esac
done  


if [ "$verbose" = "true" ]
then
  curl -s -X GET $url -H 'Cache-Control: no-cache' --head 
fi
origin=$(curl -s -X GET $url -H 'Cache-Control: no-cache' --head | grep -i access-control)


if [ $? -eq 0 ]
then
  color_msg $green "$url $origin"
else
  color_msg $red "$url does not support CORS"
  color_msg $blue "you might want to visit https://enable-cors.org/ to find out how to enable CORS"
fi
于 2018-09-20T15:51:42.913 回答
5

预检请求是使用OPTIONSHTTP 方法完成的。

假设您想在 to 的请求上测试 CORS ，POST命令应该是：http://mysite.example.comhttps://myapi.example.com/foo

curl -XOPTIONS \
  -H "Access-Control-Request-Method: POST" \
  -H "Origin: http://mysite.example.com" \
  https://myapi.example.com/foo

响应要么是，要么OK是错误消息，例如Disallowed CORS origin. -i如果您愿意，您仍然可以使用包含标题。

这比其他一些发出GET或HEAD请求并要求您解释标头的响应要简单得多。

于 2021-07-26T15:12:27.933 回答