什么是 CORS？
CORS（Cross-Origin Resource Sharing）是一种 Web 浏览器的机制，它允许 Web 应用程序从不同的源头请求资源。
在默认情况下，Web 浏览器只允许和当前 Web 页面同源的资源被访问，换句话说，只允许通过相同域名、端口和协议的请求进行交互，其他所有来自其他域名、端口和协议的请求都将被浏览器拦截。
CORS 机制的出现，给 Web 应用程序之间的数据传输提供了可能，但也为开发带来了新的麻烦。
为什么需要 CORS？
在 Web 开发中，存在着一些常见的需求：
- 当前 Web 应用程序需要与第三方应用程序进行数据交互，而这些第三方应用程序往往位于不同的服务器上；
- 服务器在处理请求时需要适应不同的客户端，如 PC 端，移动端等。
这时候，CORS 机制就显得尤为重要。
Hapi 的 CORS 支持
CORS 是基于 HTTP 头部的机制，通过在响应中添加一些特殊的 HTTP 头部信息，告诉浏览器当前请求允许跨域请求。
在 Hapi 中，可以通过下列代码启用 CORS 支持：
-- -------------------- ---- -------
----- ---- - ----------------------
----- ------ - --- -------------
----- -----
------- -
----- ----
-
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ ------ --------
-
---
---------------通过启用 routes.cors 属性来启用 CORS 支持，接下来在响应的 HTTP 头部中会自动添加 Access-Control-Allow-Origin、Access-Control-Allow-Headers 等信息。
如果你想要更加详细的控制，可以使用以下代码配置 CORS 选项：
-- -------------------- ---- -------
----- ---- - ----------------------
----- ------ - --- -------------
----- -----
------- -
----- -
------- ------------------------
------------------ -----------------
-
-
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ ------ --------
-
---
---------------在该代码中，CORS 配置允许 'https://example.com' 域名进行跨域请求，并在响应头中添加了额外的 authorization 头信息。
如何完美解决 Hapi 应用程序中的 CORS 问题？
当你开发的 Web 应用程序遇到跨域问题时，要考虑一些安全方面的问题，如 XSS（跨站脚本攻击）等攻击，因此在开启 CORS 支持时，需要合理地配置并充分考虑安全性。
以下是我总结的几条建议，用来完美解决 Hapi 应用程序中的 CORS 问题：
- 启用 routes.cors 或使用路由级别的 CORS 配置，充分利用已有的设置，减少编写冗余代码的工作；
- 尽量使用 origin 配置明确指定允许跨域请求的域名或 IP 地址，避免所有的请求都允许跨域；
- 在 Access-Control-Allow-Headers 中明确指定客户端允许发送的请求头部信息，避免潜在的 XSS 攻击；
- 利用 HTTP Cookies 实现身份验证，而不是通过 HTTP 头部传输身份信息；
- 避免向跨域资源中发送敏感信息，尤其是在 URL 中传输敏感信息时更需要考虑其安全性。
希望这些建议能给前端开发者提供一些帮助，在开发中更加合理地使用 CORS 机制。
结论
CORS 机制的出现，使得 Web 应用程序之间的数据传输变得更便捷，但同时也增加了安全性方面的考虑。
在 Hapi 中，通过启用 routes.cors 或路由级别的 CORS 配置，可以灵活控制跨域请求，避免不必要的麻烦。
对于 Web 开发者来说，使用 CORS 时需要时刻谨记其安全性，避免给 Web 应用程序造成不必要的攻击。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/647c5b0d968c7c53b076f0c5