VPN ei voi poistaa CORSia käytöstä, se muuttaa vastausta

Aloita erottamalla kaksi asiaa, jotka muuttuivat samaan aikaan: verkkopolku ja selaimen valvonta. VPN muuttaa lähtöosoitetta; se ei muuta sivun alkuperää, joka muodostuu skeemasta, isäntänimestä ja portista. Jos pyyntö nyt onnistuu, jokin vastauksessa on muuttunut tai pyyntö itse on muuttunut. Sen selvittäminen on koko tutkimus.

CORS on otsakkoprotokolla, jota selain valvoo, joten mikään verkkopolulla ei voi poistaa sitä käytöstä.

Alkuperä ei ole IP-osoite

Alkuperä on skeema, isäntänimi ja portti. Se ei ole osoite, josta paketit lähtevät, eikä IP, jonka palvelin näkee. Siksi VPN voi muuttaa jokaisen havaittavan osoitteen ja jättää alkuperän samaksi. Selain vertaa vastauksen Access-Control-Allow-Origin -otsaketta sivun alkuperään, eikä lähtöosoite koskaan tule mukaan siihen vertailuun.

Niinpä laajennus tai välityspalvelin, joka näyttää korjaavan CORS-virheen, tekee jotain muuta: se kirjoittaa otsakkeita uudelleen tai reitittää pyynnön niin, ettei se enää ole risteävää alkuperää. Kumpikaan ei ole VPN:n ominaisuus.

Mitä selain todella lähettää

Jos risteävän alkuperän pyyntö ei ole yksinkertainen, selain lähettää ensin esitarkistuksen OPTIONS, joka sisältää aiotun menetelmän ja otsakkeet. Palvelimen on vastattava myöntämillään luvilla, ja varsinainen pyyntö seuraa vain, jos vastaus täyttää säännöt. VPN muuttaa polun, joka kuljettaa molemmat vaihdot, ja voi muuttaa sitä, mitä välissä olevat palvelut vastaavat. Se ei muuta alkuperän merkkijonoa tai esitarkistuksen vaatimusta.

Komentoriviasiakas ei yleensä näytä mitään tästä. Se ei ehkä lähetä Origin-otsaketta, usein ohittaa esitarkistuksen ja voi kantaa eri tunnuksia. curlille palautettu runko todistaa, että palvelin vastasi curlille.

Etsi vastaus, joka muuttui

Vertaa todellista vastausta kullakin polulla, älä vain tilakoodia. Katso otsakkeita, jotka kantavat CORS-lupia, sisältötyyppiä, mahdollista uudelleenohjausta ja sitä, tuottiko WAF- tai CDN-muunnos erilaisen sivun. Alueellinen hylkäys, todennuksen uudelleenohjaus tai virhesivu ilman lupautsaketta epäonnistuvat kaikki selaimessa samalla kun ne näyttävät CORS-virheeltä. Ne ovat toimituspolun eroja, ja juuri ne on dokumentoitava.

Tallenna vastausotsakkeet molemmilta poluilta ja vertaa niitä rivi riviltä. Jos ainoa ero on puuttuva Access-Control-Allow-Origin yhdellä virhesivulla, olet löytänyt syyn.

Korjaa palvelu, älä valvonta

Kun palvelu on sinun, ilmoita sallitut alkuperät ja pyynnön ominaisuudet selkeästi ja lue sitten virheet, joita sen frontend ja välittäjät tuottavat. Jos et tee sitä, lähetä palvelun omistajalle puhdistettu vertailu. Älä koskaan sisällytä evästeitä, valtuutusotsakkeita tai istunnon vientejä siihen raporttiin, sillä ne ovat tunnukset, joiden suojaamiseksi käytäntö on olemassa.

Vältä selainlaajennuksia, jotka poistavat CORSin käytöstä. Ne muuttavat turvarajaa samalla kun ne kätkevät vastauksen eron, joka olisi pitänyt selittää, ja jättävät saman vian paikalleen kaikille muille käyttäjille.

Tallenna molemmat vastaukset, käytetty alkuperä ja kuljettu polku. Se kirjaus muuttaa VPN-huhun palvelun viaksi.