无为清净楼资源网

.Net Core Cors中间件的深入讲解
网络编程 2024/9/29 佚名
3 2
无为清净楼资源网 Design By www.qnjia.com

同源策略和资源跨域共享

1、同源策略

同源策略，它是由Netscape提出的一个著名的安全策略。现在所有支持JavaScript 的浏览器都会使用这个策略。所谓同源是指，域名，协议，端口相同。

1.1、目的

主要是为了保证用户信息的安全，防止网站窃取用户数据。假如没有同源策略，可能就会有下面这种情况的发生。用户访问两个网站A/B，并登录了A网站，A网站会在计算机本地存储Cookie或者Token等等，在访问B网站的时候，B网站就可以访问这些本地的存储信息，B网站可以使用用户的Cookie去登录A网站，那这样用户信息就被泄露了。

1.2、限制范围　　　

  • Cookie、LocalStorage和indexDB无法访问(只有同源的网页才能共享Cookie)
  • DOM无法获得（父窗口和子窗口的地址是同源的才能获取子窗口的信息）
  • AJAX请求不能被发送(AJAX请求只能发送给同源的网址)

要知道一点，这些限制其实都是浏览器做的限制。

2、跨域资源共享

跨域资源共享跟同源策略相反。在整个跨域通信过程中，浏览器会自动识别此次请求是否跨域，一旦发现跨域，就自动添加请求头信息(如Origin)或者自动发送一次请求方式为option的预请求。浏览器将CORS请求分为两类：简单请求和非简单请求。

2.1、简单请求

当浏览器的请求方式是Head、Get或者Post，并且HTTP的头信息中不会超出以下字段:

  • Accept
  • Accept-Language
  • Content-Language
  • Origin

时，浏览器会将该请求定义为简单请求，否则就是非简单请求。当浏览器判断为简单请求后，浏览器会自动再请求报文头中加上Origin字段，表明此次请求来自的地址(协议+域名+端口)。然后服务器需要去判断是否接受这个来源的请求。如果允许服务器端返回的头部中需要有Access-Control-Allow-Origin，其值为请求时Origin字段的值或*（表示接受任意源的请求）。请求头中还会有Access-Control-Allow-Methods表示服务器允许的跨域请求的方式。Access-Control-Allow-Headers表示请求头中允许出现的字段。

2.2、 非简单请求

当浏览器判断为非简单请求后，会发送两次请求，首先浏览器会自动发送一个请求方式为options的请求，并在请求头中

  • 加上Access-Control-Request-Method表示下次请求的方法，
  • 加上Origin表明来源，
  • 加上Access-Control-Request-Headers表示下次请求的请求头中额外的字段。

服务器收到请求后，需要获取这三个请求头中的值，并进行判断，确认是否允许进行跨域。如果服务器返回的请求头中没有任何CORS相关的请求头信息，浏览器会认为不通过预检，也不会进行第二次请求。

服务器如果接受跨域并验证通过了options的请求，会返回Access-Control-Allow-Origin(表明允许跨域请求的源)、Access-Control-Allow-Methods(允许跨域请求的请求方式)、Access-Control-Allow-Headers(允许请求头中包含的额外字段)。然后浏览器才会发送真正的请求。　

.Net Core Cors中间件的深入讲解　　　　　　　　　　　　　　　　　

(第一次options请求)

.Net Core Cors中间件的深入讲解

(第二次请求)

二、服务端实现CORS

在.Net Core Web Api中使用很简单，首先安装包Microsoft.AspNet.WebApi.Cors，在StartUp中添加下面两句

public void ConfigureServices(IServiceCollection services)
 {
  services.AddMvc();
　　　　　　　//添加Cors，并配置CorsPolicy 
  services.AddCors(options => options.AddPolicy("CorsTest", p => p.AllowAnyOrigin().AllowAnyHeader().AllowAnyMethod()));
 }

 public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
 {
  if (env.IsDevelopment())
  {
  app.UseDeveloperExceptionPage();
  }　　　　　　 //注意UseCors()要在UseMvc()之前
  app.UseCors("CorsTest");
  app.UseMvc();
 }

在使用的时候只需要在Controller或者Action中加上特性[EnableCors("CorsTest")]

[EnableCors("CorsTest")]
 public class ValuesController : Controller
 {
 private ILogger<ValuesController> _logger;
 public ValuesController(ILogger<ValuesController> logger)
 {
  _logger = logger;
 }
 [HttpGet]
 public IEnumerable<string> Get()
 {
  return new string[] { "value1", "value2" };
 }
 }

现在服务端已经配置好了，现在需要通过前端跨域请求

<html>
<head>
 测试
</head>
<body>
 测试
</body>
</html>
<script src="/UploadFiles/2021-04-02/jquery-3.3.1.min.js">


测试结果如下图：


.Net Core Cors中间件的深入讲解


　　　　　　　　　　　　　　　　　　　　　　　　　　(options请求)


.Net Core Cors中间件的深入讲解


　　　　　　　　　　　　　　　　　　　　　　　　（第二次请求）


 上面配置允许所有的地址请求这个接口，也可以单独配置某个地址。





services.AddCors(options => options.AddPolicy("CorsTest", p => p.WithOrigins("http://localhost:8089")
                   .AllowAnyHeader()
                   .AllowAnyMethod()));





 三、解析Cors源码




打开CORS源码，主要的是CorsMiddleware、CorsOptions、CorsPolicy、CorsPolicyBuilder、CorsResult、CorsService这几个类。


    
  
  • CorsPolicy：就是我们在Startup中的配置，如允许哪些域名可以跨域请求，允许哪些跨域请求方式，允许哪些额外的请求头，每个配置对应一个名称。
    
         services.AddCors(options => options.AddPolicy("CorsTest", p => p.AllowAnyOrigin().AllowAnyHeader().AllowAnyMethod()));
    • 
  
  • CorsOptions：中包含一个字典IDictionary<string, CorsPolicy> PolicyMap，一个项目可能有过个Cors配置，所以这个CorsOptions就是通过配置名称管理这些配置的。
    • 
  
  • CorsPolicyBuilder：通过它来构造CorsPolicy。
    • 
  
  • CorsResult：是验证跨域过程得到的结果。如在第一次Options请求时，客户端发送了Origi：http://localhost:8089，服务器会返回Access-Control-Allow-Origin：http://localhost:8089，服务器验证http://localhost:8089这个域名是否允许跨域，如果允许就将“http://localhost:8089”这个值存储到CorsResult的AllowedHeaders中，在请求(第一次请求)返回的时候将这些加到HTTP请求头中。
    • 
  
  • CorsMiddleware：Cors中间件类，主要方法就是Invoke，每次HTTP请求都会调用这个方法。
    • 






public async Task Invoke(HttpContext context)
  {//判断HTTP请求头是否有Origin，由此判断是不是跨域请求
   if (context.Request.Headers.ContainsKey(CorsConstants.Origin))
   {
    var corsPolicy = _policy "GET"存储到CorsResult的AllowedMethods中
   var corsResult = _corsService.EvaluatePolicy(context, corsPolicy);　　　　　　　　//将CorsResult中的值添加到相应头中的，返回到客户端
   _corsService.ApplyResult(corsResult, context.Response);
  }





相对来说Cors源码还是比较简单的，很容易看懂。可以自己写一个项目，然后挂上源码单步调试。


总结


以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，如果有疑问大家可以留言交流，谢谢大家对的支持。
标签：
.net,core,中间件,asp.net,core,中间件,.net,core,cors
无为清净楼资源网 Design By www.qnjia.com
广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站文章均来自网站采集或用户投稿，网站不提供任何软件下载或自行开发的软件！ 如有用户或公司发现本站内容信息存在侵权行为，请邮件告知！ 858582#qq.com
无为清净楼资源网 Design By www.qnjia.com
www.qnjia.com 无为清净楼资源网
139,976互联网资源
144,792高清电影
21,817无损音乐
631,128技术资源

《魔兽世界》大逃杀！60人新游玩模式《强袭风暴》3月21日上线

暴雪近日发布了《魔兽世界》10.2.6 更新内容，新游玩模式《强袭风暴》即将于3月21 日在亚服上线，届时玩家将前往阿拉希高地展开一场 60 人大逃杀对战。

艾泽拉斯的冒险者已经征服了艾泽拉斯的大地及遥远的彼岸。他们在对抗世界上最致命的敌人时展现出过人的手腕，并且成功阻止终结宇宙等级的威胁。当他们在为即将于《魔兽世界》资料片《地心之战》中来袭的萨拉塔斯势力做战斗准备时，他们还需要在熟悉的阿拉希高地面对一个全新的敌人──那就是彼此。在《巨龙崛起》10.2.6 更新的《强袭风暴》中，玩家将会进入一个全新的海盗主题大逃杀式限时活动，其中包含极高的风险和史诗级的奖励。

《强袭风暴》不是普通的战场，作为一个独立于主游戏之外的活动，玩家可以用大逃杀的风格来体验《魔兽世界》，不分职业、不分装备（除了你在赛局中捡到的），光是技巧和战略的强弱之分就能决定出谁才是能坚持到最后的赢家。本次活动将会开放单人和双人模式，玩家在加入海盗主题的预赛大厅区域前，可以从强袭风暴角色画面新增好友。游玩游戏将可以累计名望轨迹，《巨龙崛起》和《魔兽世界：巫妖王之怒 经典版》的玩家都可以获得奖励。

更新日志

友情链接

杰晶网络 DDR爱好者之家 桃源资源网 杰网资源 富贵资源网 南强小屋 铁雪资源网 幽灵资源网 万梅资源网 狼山资源网 白云岛资源网 昆仑资源网 相思资源网 明霞山资源网 内蒙古资源网 黑松山资源网 茶园资源网 饿虎岗资源网 大旗谷资源网 常春岛资源网 岱庙资源网 兴国资源网 快活林资源网 蝙蝠岛资源网 帝王谷资源网 白云城资源网 伏龙阁资源网 清风细雨楼 天枫庄资源网 圆月山庄资源网 无争山庄资源网 神水资源网 移花宫资源网 神剑山庄资源网 无为清净楼资源网 金钱帮资源网 丐帮资源网 华山资源网 极乐门资源网 小李飞刀资源网 凤求凰客栈 风云阁资源网 金狮镖局 鸳鸯亭资源网 千金楼资源网 更多链接