Yii2：如何在非 Restful API 上允许 CORS

我正在 Yii2 Framework 上使用预构建的 API（不是 Restfull）。它使用 JSON 数据进行响应，并根据用户类型和凭证令牌接受请求。现在我必须制作一个位于不同位置（域）的应用程序，这会导致 CORS 冲突。

我的应用程序是 jQuery 并且我正在使用$.ajax用于数据发送和接收。 如何避免这种 CORS 冲突并通过 ajax 使用 API？

Regards

UPDATE:

正如 IStranger 在他的回答中告诉我的那样，我添加了以下代码：

public function behaviors()
{
    $behaviors = parent::behaviors();
    $behaviors['corsFilter'] = [
        'class' => \yii\filters\Cors::className(),
        'cors' => [
            'Origin'                           => "*",
            'Access-Control-Request-Method'    => ['POST', 'GET'],
            'Access-Control-Allow-Credentials' => true,
            'Access-Control-Max-Age'           => 3600,
        ],
    ];
    return $behaviors;
}

但我仍然收到错误。有一个beforeAction在代码中这会是一个问题吗？

这是原始标题

Request:

Host: domain.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:48.0) Gecko/20100101 Firefox/48.0
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Referer: http://localhost/main/main.html
Content-Length: 296
Origin: http://localhost
Connection: keep-alive

回复：

Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Connection: Keep-Alive
Content-Length: 101
Content-Type: application/json; charset=UTF-8
Date: Thu, 22 Sep 2016 17:23:48 GMT
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Keep-Alive: timeout=5, max=100
Pragma: no-cache
Server: Apache/2.4.17 (Win64) PHP/5.6.16
Set-Cookie: PHPSESSID=ph0b322gbq65m1f3m8fp9fphc0; path=/; HttpOnly
X-Powered-By: PHP/5.6.16

只需添加到您的 API 控制器：

/**
 * List of allowed domains.
 * Note: Restriction works only for AJAX (using CORS, is not secure).
 *
 * @return array List of domains, that can access to this API
 */
public static function allowedDomains()
{
    return [
        // '*',                        // star allows all domains
        'http://test1.example.com',
        'http://test2.example.com',
    ];
}

/**
 * @inheritdoc
 */
public function behaviors()
{
    return array_merge(parent::behaviors(), [

        // For cross-domain AJAX request
        'corsFilter'  => [
            'class' => \yii\filters\Cors::className(),
            'cors'  => [
                // restrict access to domains:
                'Origin'                           => static::allowedDomains(),
                'Access-Control-Request-Method'    => ['POST'],
                'Access-Control-Allow-Credentials' => true,
                'Access-Control-Max-Age'           => 3600,                 // Cache (seconds)
            ],
        ],

    ]);
}

此代码将添加到响应特殊的 http 标头。请求http header应该有Origin（跨域 AJAX 时浏览器会自动添加）。响应http标头应该有Access-Control-*标头。

NOTE:如果您在响应中没有看到这些 http 标头，可能意味着\yii\filters\Cors不工作。检查控制器中的其他行为/过滤器。尝试禁用此控制器的 CSRF 验证（它可能会阻止外部访问）：

/**
 * Controller for API methods.
 */
class ApiController extends Controller
{

    /**
     * @var bool See details {@link \yii\web\Controller::$enableCsrfValidation}.
     */
    public $enableCsrfValidation = false;

    // ...
}

UPD:另外应该检查您的网络服务器。 nginx 可能需要额外的配置，apache 可能需要重新启动。

UPD2:更完整的说明在这里：https://stackoverflow.com/a/42435695/3793592