VPN haiwezi kuzima CORS, hubadilisha jibu

Anza kwa kutenganisha mambo mawili yaliyobadilika kwa wakati mmoja: njia ya mtandao na utekelezaji wa kivinjari. VPN hubadilisha anwani ya kutoka; haibadilishi asili ya ukurasa, ambayo hujengwa na mpango, mwenyeji na bandari. Ikiwa ombi sasa linafanikiwa, kitu kwenye jibu limebadilika, au ombi lenyewe limebadilika. Kutambua ni kipi ndio uchunguzi wote.

CORS ni itifaki ya vichwa inayotekelezwa na kivinjari, kwa hivyo hakuna kitu kwenye njia ya mtandao kinachoweza kuizima.

Asili si anwani ya IP

Asili ni mpango, mwenyeji na bandari. Si anwani ambayo pakiti hutoka, na si IP ambayo seva inaona. Ndiyo sababu VPN inaweza kubadilisha kila anwani inayoonekana na kuacha asili sawa. Kivinjari hulinganisha Access-Control-Allow-Origin ya jibu na asili ya ukurasa, na anwani ya kutoka haingii kamwe kwenye ulinganisho huo.

Kwa hivyo kiendelezi au proksi inayoonekana kurekebisha hitilafu ya CORS hufanya kitu kingine: huandika upya vichwa, au huelekeza ombi ili lisiwe tena la asili tofauti. Hakuna hata kimoja kilicho sifa ya VPN.

Kivinjari hutuma nini kwa kweli

Kwa ombi la asili tofauti ambalo si rahisi, kivinjari hutuma kwanza ukaguzi wa awali OPTIONS, ukiwa na njia na vichwa vilivyokusudiwa. Seva lazima ijibu kwa ruhusa inazoruhusu, na ombi halisi hufuata tu ikiwa jibu hilo linakidhi kanuni. VPN hubadilisha njia inayobeba mabadilishano yote mawili na inaweza kubadilisha jibu la huduma za kati. Haibadilishi mfuatano wa asili au sharti la ukaguzi wa awali.

Mteja wa mstari wa amri kwa kawaida haonyeshi lolote la hayo. Huenda hakutuma kichwa cha Origin, mara nyingi huruka ukaguzi wa awali, na huenda akabeba vitambulisho tofauti. Mwili unaorudishwa kwa curl huthibitisha kwamba seva ilijibu curl.

Tafuta jibu lililobadilika

Linganisha jibu halisi kwenye kila njia, si msimbo wa hali tu. Angalia vichwa vinavyobeba ruhusa za CORS, aina ya maudhui, uelekezaji wowote, na kama lahaja ya WAF au CDN ilizalisha ukurasa tofauti. Kukataa kwa kanda, uelekezaji wa uthibitishaji au ukurasa wa hitilafu usio na kichwa cha ruhusa—vyote hushindwa kwenye kivinjari huku vikionekana kama hitilafu ya CORS. Hizo ni tofauti za njia ya uwasilishaji, na ndizo zinazopaswa kuandikwa.

Nasa vichwa vya jibu kutoka njia zote mbili na uvilinganishe mstari kwa mstari. Ikiwa tofauti pekee ni Access-Control-Allow-Origin kukosekana kwenye ukurasa mmoja wa hitilafu, umepata sababu.

Rekebisha huduma, si utekelezaji

Huduma ikiwa yako, taja kwa uwazi asili zinazoruhusiwa na vipengele vya ombi, kisha soma hitilafu zinazozalishwa na sehemu yake ya mbele na wapatanishi wake. Usipofanya hivyo, tuma kwa mmiliki wa huduma ulinganisho uliosafishwa. Kamwe usijumuishe vidakuzi, vichwa vya uidhinishaji au mauzo ya kipindi kwenye ripoti hiyo, kwa sababu hizo ni vitambulisho ambavyo sera ipo kuvilinda.

Epuka viendelezi vya kivinjari vinavyozima CORS. Hubadilisha mpaka wa usalama huku vikificha tofauti ya jibu iliyohitaji kuelezwa, na huacha kushindwa huko huko kwa kila mtumiaji mwingine.

Rekodi majibu yote mawili, asili iliyotumika na njia iliyochukuliwa. Rekodi hiyo hubadilisha uvumi wa VPN kuwa hitilafu ya huduma.