VPN getur ekki slökkt á CORS, það breytir svarinu

Byrjaðu á að aðskilja tvennt sem breyttist samtímis: netleiðina og framfylgd vafrans. VPN breytir útgangsfanginu; það breytir ekki uppruna síðunnar, sem er byggður úr skema, hýsli og gátt. Ef beiðnin tekst núna, breyttist eitthvað í svarinu, eða beiðnin sjálf breyttist. Að komast að því hvor er öll rannsóknin.

CORS er hausaprótókoll sem vafrinn framfylgir, svo ekkert á netleiðinni getur slökkt á því.

Uppruni er ekki IP-fang

Uppruni er skema, hýsill og gátt. Það er ekki fangið sem pakkarnir fara frá og ekki IP-ið sem þjónninn sér. Þess vegna getur VPN breytt hverju sýnilegu fangi og látið upprunann vera óbreyttan. Vafrinn ber saman Access-Control-Allow-Origin svarins við uppruna síðunnar, og útgangsfangið kemur aldrei inn í þann samanburð.

Þannig að viðbót eða milliþjónn sem virðist laga CORS-villu gerir eitthvað annað: endurskrifar hausa eða beinir beiðninni þannig að hún er ekki lengur milli uppruna. Hvort tveggja er ekki eiginleiki VPNs.

Hvað vafrinn sendir í raun

Fyrir beiðni milli uppruna sem er ekki einföld sendir vafrinn fyrst forkönnun OPTIONS sem ber fyrirhugaða aðferð og hausa. Þjónninn verður að svara með þeim leyfum sem hann veitir, og raunbeiðnin fylgir aðeins ef það svar uppfyllir reglurnar. VPN breytir leiðinni sem ber báðar umferðirnar og getur breytt því hvað millilagningarþjónustur svara. Það breytir ekki upprunastrengnum eða skilyrði forkönnunarinnar.

Skipanalínuviðmót sýnir venjulega ekkert af þessu. Það sendir kannski ekki Origin haus, sleppir oft forkönnuninni og getur borið aðra skilríki. Líkamsstaða sem skilað er til curl sannar að þjónninn svaraði curl.

Finndu svarið sem breyttist

Berðu saman raunverulegt svar á hverri leið, ekki bara stöðukóðann. Líttu á hausana sem bera CORS-leyfi, innihaldstegundina, hverja tilvísun og hvort WAF- eða CDN-afbrigði bjó til aðra síðu. Svæðisbundin synjun, auðkenningartilvísun eða villusíða án leyfishaussins mistakast allt í vafranum þótt það líti út eins og CORS-villa. Þetta eru mismunur á afhendingarleið, og það er það sem þarf að skjalfesta.

Skráðu svarhausana frá báðum leiðum og berðu þá saman línu fyrir línu. Ef eini munurinn er að vantar Access-Control-Allow-Origin á einni villusíðu, hefurðu fundið orsökina.

Lagaðu þjónustuna, ekki framfylgdina

Þegar þjónustan er þín skaltu tilgreina leyfða uppruna og eiginleika beiðnarinnar skýrt og lesa svo villurnar sem framendi hennar og milliliðir framleiða. Ef þú gerir það ekki skaltu senda eiganda þjónustunnar hreinsaðan samanburð. Setjið aldrei vafrakökur, heimildarhausa eða útflutning lota í þá skýrslu, því þetta eru skilríkin sem stefnan er til að verja.

Forðastu vafraviðbætur sem slökkva á CORS. Þær breyta öryggismörkunum á meðan þær fela svaramuninn sem þurfti að útskýra, og þær láta sömu bilun standa fyrir alla aðra notendur.

Skráðu bæði svörin, upprunann sem notaður var og leiðina sem farin var. Sú skráning breytir VPN-orðrómi í þjónustubilun.