1

我正在尝试访问我的电影 API，该 API 通过 React 应用程序返回包括电影海报图像在内的数据。正在从外部网站请求此图像。每次我向\movies端点发出请求时，图像都会被阻止，并且我会在控制台中收到以下消息

net::ERR_BLOCKED_BY_RESPONSE.NotSameOriginAfterDefaultedToSameOriginByCoep 200

在“网络”选项卡中查看请求时，我收到以下消息说启用跨域资源策略

Because your site has the Cross-Origin Embedder Policy (COEP) enabled, each resource must specify a suitable Cross-Origin Resource Policy (CORP). This behavior prevents a document from loading cross-origin resources which don’t explicitly grant permission to be loaded.
To solve this, add the following to the resource’s response header:
Cross-Origin-Resource-Policy: same-site if the resource and your site are served from the same site.
Cross-Origin-Resource-Policy: cross-origin if the resource is served from another location than your website. ⚠️If you set this header, any website can embed this resource.

我正在使用 CORS npm 模块，该模块以前用于解决我的 Access-Control-Allow-Origin 错误问题。我添加了一些额外的中间件来尝试按照说明添加标题。这是带有该代码的 app.js 服务器

应用程序.js

'use strict';
import express, { json, urlencoded } from 'express';
import morgan from 'morgan';
import mongoose from 'mongoose';
import passport from 'passport';
import cors from 'cors';
import dotenv from 'dotenv';
import auth from './routes/auth.js';
import routes from './routes/routes.js';

dotenv.config();

const app = express();

mongoose
    .connect(process.env.CONNECTION_URL, {
        useNewUrlParser: true,
        useUnifiedTopology: true,
    })
    .then(res => console.log('DB Connected!'))
    .catch(err => console.log(err, err.message));

app.use(cors())

app.use((req, res, next) => {
  res.header("Cross-Origin-Resource-Policy", "cross-origin")
  next()
})

app.use(passport.initialize());
app.use(json());
app.use(urlencoded({ extended: true }));
app.use(express.static(`public`));
app.use(morgan('common'));

auth(app);
import './authentication/passport.js';

routes(app)

app.use((req, res, err, next) => {
    if (err) {
        console.error(err.stack);
        res.status(500).send('Something broke!');
    }
    next();
});

const port = process.env.PORT || 3000;

app.listen(port, '0.0.0.0', () => console.log(`Listening on Port ${port}`));

执行此操作后，控制台会抛出相同的错误，并且仍未设置跨域资源策略。我的方法或文件结构的方式有问题吗？

4

1 回答 1

2

您在客户端中启用了 COEP：

Cross-Origin-Embedder-Policy: require-corp

这是一项出色的安全功能，这意味着：

COEP：本网站上的所有内容（数据、图像等）都是我的，或者我使用 CORS 从其他网站获取。（可能还有第三种方式，即通过cookies、http-auth等授权数据……这不在我们的讨论范围内，所以不要在这里打扰。）

所以，你有两个选择。第一个是禁用 COEP，但我假设您不想这样做。因此，另一种选择是将CORS用于外部所有内容。例如，当您获取某些东西时，请使用：

fetch('https://externalwebsite.com/image.jpg',{mode:'cors'})

或者，要在 HTML 中嵌入外部图像，请使用crossorigin

<img crossorigin="anonymous" src="https://externalwebsite.com/image.jpg">

请注意，crossorigin属性 in<img>表示 CORS。如果缺少，则表示“no-cors”，这是默认设置。但请注意：当您使用 JavaScriptfetch时，默认值为{mode:'cors'}，即相反！

现在，如果您尝试这样做（应该使用 CORS），浏览器将抛出另一个错误：

Access [...] has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

这意味着……正是如此！外部服务器必须发送标头：

Access-Control-Allow-Origin: *

该设置意味着每个网站都可以使用服务器的资源（在您的情况下为 API），只要它不在请求中使用/发送/接收 cookie（因为...安全）。在您的快速服务器中实现此功能的方法是设置：

res.header('Access-Control-Allow-Origin', '*');

打算为其他网站提供服务的每个服务器都必须有这个 ACAO 标头。（如果您只希望该网站访问您的 API，则可以放置您的其他网站而不是“*”。）

注意/总结：

如果外部服务器有这个 ACAO 标头，您可以使用 CORS/crossorigin 获取内容。如果它没有 ACAO 标头，您可以使用 no-cors / without crossorigin 获取内容。但是在您的网站中启用 COEP 后，您只能使用 CORS/crossorigin 获取，因此外部服务器必须具有 ACAO。

现在，

至于Cross-Origin-Resource-Policy您的服务器所拥有的，请记住（https://developer.mozilla.org/en-US/docs/Web/HTTP/Cross-Origin_Resource_Policy_(CORP)）：

  1. 该策略仅对no-cors请求有效
  2. 在跨域资源策略检查期间，如果设置了标头，浏览器将拒绝从不同来源/站点发出的no-cors请求。

这意味着，由于您只向该服务器发出 CORS 请求，因此此标头不会执行任何操作（在您的情况下）。因此，出于超出本主题的安全原因，服务器可以将其设置为“same-site”/“same-origin”。

于 2022-02-03T10:21:05.447 回答