تشخيص اختلاف تمهيد CORS والاعتماد

افهم الأسباب المحتملة

• قد يختلف الأصل المضبوط بالبروتوكول أو المضيف أو المنفذ، أو لا تدعم الطريقة والرؤوس، أو يتعارض wildcard مع الاعتماد. وقد يغير التحويل أو ترتيب الوسيط الرد، أو يعيد المخبأ استخدام حقول تعتمد الأصل بصورة خاطئة. ليست CORS مصادقة حساب، ولا يثبت رأس Origin أن العميل موثوق أو مأذون.

افصل التمهيد والفعل ورؤية الرد

سجل أصل الواجهة وأصل الوجهة ونمط الاعتماد والطريقة وأسماء الرؤوس المطلوبة وفئة حالة الرد والتشخيص الموجود الملائم. لا تلتقط اعتماداً أو أجساماً خاصة. حدد هل الفشل في تفاوض القدرة، أم تفويض الخادم الفعلي، أم كشف المتصفح لرد مكتمل. أعد الحالة اصطناعياً وبضبط في بيئة مفوضة، لا بحركة متكررة لنقطة حية. يفيد نجاح غير المتصفح كدليل بروتوكول، لكنه لا يمارس إنفاذ مشاركة المتصفح.

قارن الأصل الدقيق وسياسة الاعتماد

الأصل بروتوكول ومضيف ومنفذ، لا عنوان URL كامل اعتباطي. أكد قائمة السماح المراجعة ولا تعكس كل أصل وارد. يحتاج كشف الرد بالاعتماد سياسة أصل صريحة متوافقة وفق القواعد الحالية؛ ليس wildcard إصلاحاً عاماً. تفحص الدالة المحلية حقائق توافق معلنة وتحفظ الأصل غير المدعوم مرفوضاً. ليست تنفيذ متصفح أو وسيطاً، ولا ترسل طلباً أو تثبت أن الخادم المقصود أنتج الرد. يبقى ذلك بحاجة دليل مستقل من التكامل الفعلي.

def sharing_review(request_origin, allow_origin, credentialed):
    if credentialed and allow_origin == "*":
        return "incompatible-credentialed-origin"
    if allow_origin not in (request_origin, "*"):
        return "origin-not-shared"
    return "review-method-headers-and-server-permission"

assert sharing_review("https://portal.example.invalid", "*", True) == "incompatible-credentialed-origin"
assert sharing_review("https://portal.example.invalid", "https://other.example.invalid", True) == "origin-not-shared"

راجع الوسيط والتحويل والمخبأ معاً

صحح الأصل والطريقة والرأس ونمط الاعتماد المعتمدة بضيق، وفق عملية المشروع المفوضة. تحقق من حقول الرد في النجاح والفشل ومسارات التحويل المهمة. إذا اختلفت المشاركة بالأصل فراجع Vary والمخبأ، ويبقى للخاص إذنه وسياسة تخزينه. لا تعطل أمان المتصفح أو توسع الجميع لإسكات الطرفية. لا يفوض التمهيد الفعل الحقيقي، ولا يثبت حجب الرد منع أثره. حافظ على وضوح عقد التطبيق للإعادة ومنع تكرار الأثر.

امنع تكرار المشكلة

• عين مالكاً لقائمة أصول دنيا، ووثق افتراضات الاعتماد وتاريخ التنقل والاستضافة، واختبر اختلاف الرد بعد تغير الوكيل أو الوسيط. افصل التمهيد وتفويض الأعمال وضوابط CSRF. احمِ التشخيص وتجنب الإعادة الآلية لكتابة مبهمة النتيجة. تعامل مع تحذير المتصفح كدليل على مرحلة معينة، لا مبرراً لمنح وصول واسع.