VPN-ஆல் CORS-ஐ முடக்க முடியாது, அது பதிலை மாற்றுகிறது

ஒரே நேரத்தில் மாறிய இரண்டு விஷயங்களைப் பிரிப்பதில் தொடங்குங்கள்: வலைப்பிணையப் பாதை மற்றும் உலாவியின் அமலாக்கம். VPN வெளியேறு முகவரியை மாற்றுகிறது; பக்கத்தின் தோற்றத்தை மாற்றாது, அது திட்டம், புரவன் மற்றும் துறையால் ஆனது. இப்போது கோரிக்கை வெற்றியடைந்தால், பதிலில் ஏதோ மாறியுள்ளது, அல்லது கோரிக்கையே மாறியுள்ளது. எது என்பதைக் கண்டறிவதே முழு விசாரணை.

CORS என்பது உலாவி அமல்படுத்தும் தலைப்பு நெறிமுறை, எனவே வலைப்பிணையப் பாதையில் எதுவும் அதை முடக்க முடியாது.

தோற்றம் என்பது IP முகவரி அல்ல

தோற்றம் என்பது ஒரு திட்டம், ஒரு புரவன் மற்றும் ஒரு துறை. அது பொதிகள் வெளியேறும் முகவரி அல்ல, சேவையகம் பார்க்கும் IP-யும் அல்ல. அதனால்தான் VPN கவனிக்கக்கூடிய ஒவ்வொரு முகவரியையும் மாற்றி தோற்றத்தை அதேபடி வைக்க முடியும். உலாவி பதிலின் Access-Control-Allow-Origin ஐ பக்கத்தின் தோற்றத்துடன் ஒப்பிடுகிறது, வெளியேறு முகவரி அந்த ஒப்பீட்டில் ஒருபோதும் நுழைவதில்லை.

எனவே CORS பிழையைச் சரிசெய்வதுபோல் தோன்றும் நீட்டிப்பு அல்லது பதிலி வேறு ஒன்றைச் செய்கிறது: தலைப்புகளை மீண்டும் எழுதுகிறது, அல்லது கோரிக்கையை இனி குறுக்குத் தோற்றமாக இல்லாதபடி வழிமாற்றுகிறது. இரண்டுமே VPN-இன் பண்பு அல்ல.

உலாவி உண்மையில் அனுப்புவது என்ன

எளிமையற்ற குறுக்குத் தோற்றக் கோரிக்கைக்கு, உலாவி முதலில் முன் சரிபார்ப்பு OPTIONS அனுப்புகிறது, அது நோக்கிய முறை மற்றும் தலைப்புகளைச் சுமக்கிறது. சேவையகம் தான் அனுமதிக்கும் அனுமதிகளுடன் பதிலளிக்க வேண்டும், அந்தப் பதில் விதிகளைப் பூர்த்திசெய்தால் மட்டுமே உண்மையான கோரிக்கை தொடர்கிறது. VPN இரு பரிமாற்றங்களையும் சுமக்கும் பாதையை மாற்றுகிறது, இடைநிலைச் சேவைகள் என்ன பதிலளிக்கின்றன என்பதையும் மாற்றலாம். ஆனால் தோற்றச் சரத்தையோ முன் சரிபார்ப்பின் நிபந்தனையையோ மாற்றாது.

கட்டளை வரி வாடிக்கையாளர் பொதுவாக அதில் எதையும் காட்டாது. அது Origin தலைப்பை அனுப்பாமல் இருக்கலாம், முன் சரிபார்ப்பை அடிக்கடி தவிர்க்கிறது, வேறு சான்றுகளைச் சுமக்கலாம். curl-க்கு திருப்பித் தரப்பட்ட உடல், சேவையகம் curl-க்கு பதிலளித்ததை நிரூபிக்கிறது.

மாறிய பதிலைக் கண்டறியுங்கள்

நிலைக் குறியீடு மட்டுமல்ல, ஒவ்வொரு பாதையின் உண்மையான பதிலையும் ஒப்பிடுங்கள். CORS அனுமதிகளைச் சுமக்கும் தலைப்புகள், உள்ளடக்க வகை, எந்தவொரு திருப்பிவிடல், WAF அல்லது CDN வகை வேறு பக்கத்தை உருவாக்கியதா என்பதைப் பாருங்கள். பிராந்திய மறுப்பு, அங்கீகாரத் திருப்பிவிடல் அல்லது அனுமதி-தலைப்பு இல்லாத பிழைப் பக்கம்—அனைத்தும் உலாவியில் தோல்வியடைகின்றன, ஆனால் CORS பிழைபோல் தெரிகின்றன. அவை வழங்கல்-பாதையின் வேறுபாடுகள், அவற்றையே ஆவணப்படுத்த வேண்டும்.

இரு பாதைகளின் பதில் தலைப்புகளைப் பிடித்து வரி வரியாக ஒப்பிடுங்கள். ஒரு பிழைப் பக்கத்தில் Access-Control-Allow-Origin இல்லாததே ஒரே வேறுபாடு என்றால், காரணத்தைக் கண்டுபிடித்துவிட்டீர்கள்.

அமலாக்கத்தை அல்ல, சேவையைச் சரிசெய்யுங்கள்

சேவை உங்களுடையதாக இருந்தால், அனுமதிக்கப்பட்ட தோற்றங்களையும் கோரிக்கை அம்சங்களையும் வெளிப்படையாகக் குறிப்பிடுங்கள், பிறகு அதன் முன்பகுதியும் இடைத்தரகர்களும் உருவாக்கும் பிழைகளைப் படியுங்கள். இல்லையெனில் சேவை உரிமையாளருக்கு சுத்தப்படுத்தப்பட்ட ஒப்பீட்டை அனுப்புங்கள். அந்த அறிக்கையில் ஒருபோதும் குக்கிகள், அங்கீகாரத் தலைப்புகள் அல்லது அமர்வு ஏற்றுமதிகளைச் சேர்க்க வேண்டாம், ஏனெனில் கொள்கை அந்தச் சான்றுகளைப் பாதுகாக்கவே உள்ளது.

CORS-ஐ முடக்கும் உலாவி நீட்டிப்புகளைத் தவிர்க்கவும். அவை பாதுகாப்பு எல்லையை மாற்றி, விளக்க வேண்டிய பதில் வேறுபாட்டை மறைத்து, மற்ற ஒவ்வொரு பயனருக்கும் அதே தோல்வியை விட்டுச் செல்கின்றன.

இரு பதில்களையும், பயன்படுத்திய தோற்றத்தையும், எடுத்த பாதையையும் பதிவு செய்யுங்கள். அந்தப் பதிவு VPN வதந்தியை சேவைப் பிழையாக மாற்றுகிறது.