为什么我的 Drupal 8 CORS 设置不起作用？

从 Drupal 8.2 开始，cors 设置位于核心位置。在我的services.yml (and default.services.yml）我有以下设置：

cors.config:
    enabled: true
    # Specify allowed headers, like 'x-allowed-header'.
    allowedHeaders: ['x-csrf-token','authorization','content-type','accept','origin','x-requested-with']
    # Specify allowed request methods, specify ['*'] to allow all possible ones.
    allowedMethods: ['*']
    # Configure requests allowed from specific origins.
    allowedOrigins: ['*']
    # Sets the Access-Control-Expose-Headers header.
    exposedHeaders: false
    # Sets the Access-Control-Max-Age header.
    maxAge: 1000
    # Sets the Access-Control-Allow-Credentials header.
    supportsCredentials: true

我的域名a.comhtaccess 受密码保护。

在域上b.com我尝试从域加载一些 APIa.com:

$.ajaxSetup({
  xhrField: {
    withCredentials : true
  },
  beforeSend: function (xhr) {
    xhr.setRequestHeader('Authorization', 'Basic Z2VuaXVzOmNvYXRpbmdz');
  }
});

request = $.ajax({
  url: apiBaseUrl + 'api/foobar',
  dataType: 'json',
  type: 'get',
  password: 'foo',
  username: 'bar'
});

在 chrome 中它工作正常，在 firefox 中我收到错误。请求标头：

Access-Control-Request-Method: GET
Access-Control-Request-Headers: authorization

响应是 401“需要授权”，它表示请求方法是 OPTIONS（？）。

这里出了什么问题？

执行相同的请求insomnia https://insomnia.rest/工作得很好。

响应是 401“需要授权”，它表示请求方法是 OPTIONS（？）。

您需要将服务器后端配置为不需要授权OPTIONS要求。

该 401 响应表明服务器需要授权OPTIONS请求，但授权失败，因为请求不包含所需的凭据。

原因是，OPTIONS请求作为 CORS 的一部分由您的浏览器自动发送。

https://developer.mozilla.org/en-US/docs/Web/HTTP/Access_control_CORS#Preflighted_requests https://developer.mozilla.org/en-US/docs/Web/HTTP/Access_control_CORS#Preflighted_requests大体解释了浏览器进行 CORS 预检的原因OPTIONS请求，但在问题的具体情况下，原因是因为请求包含Authorization请求标头。

所以发生的事情是：

1. 您的代码告诉您的浏览器它想要发送带有以下内容的请求Authorization header.
2. 您的浏览器会说，好的，请求Authorizationheader 要求我进行 CORS 预检OPTIONS确保服务器允许以下请求Authorization header.
3. 您的浏览器发送OPTIONS向服务器请求没有Authorization header，因为整个目的OPTIONS检查的目的是查看是否可以包含该标头。
4. 您的服务器看到OPTIONS请求，但不是以表明它允许的方式响应它Authorization请求中包含标头，它会以 401 拒绝它，因为它缺少标头。
5. 您的浏览器预计 CORS 预检会收到 200 或 204 响应，但却收到 401 响应。所以你的浏览器就停在那里并且永远不会尝试GET来自您的代码的请求。

因此，您需要弄清楚当前服务器端代码的哪一部分导致您的服务器需要授权OPTIONS请求，您需要更改它以便它处理OPTIONS未经授权的请求。

一旦你解决了这个问题，现有的cors.config问题中显示的应该导致服务器响应OPTIONS以正确的方式提出请求——Access-Control-Allow-Headers响应标头包括Authorization，这样您的浏览器就可以说，好的，该服务器允许包含以下内容的跨源请求Authorization标头，所以我现在将继续发送实际的GET要求。