CORS（跨来源资源共享）是一种通过在浏览器和服务器之间添加标头来让远程服务器能够跨源请求的安全机制。在 Hapi.js 中使用 CORS，可以让我们更灵活地控制我们的 API 是否允许跨域访问。本文将介绍一些 Hapi.js 中的 CORS 设置优化技巧，旨在帮助开发人员更好地掌握如何为他们的 API 添加这种安全机制。
什么是 CORS？
CORS 是一个浏览器安全功能，通过服务器向浏览器返回特定的 HTTP 响应头，使得我们能够安全地跨源请求。浏览器通过在 HTTP 请求报头中添加 Origin 参数获取当前请求的来源地址，如果这个地址不在服务器允许请求的列表中，则请求会被浏览器拒绝。这种机制可以帮助我们防止跨站点脚本攻击（XSS）和跨站点请求伪造（CSRF）。
在 Hapi.js 中，我们可以使用 hapijs/cors 插件来简化 CORS 设置的操作。该插件可以帮助我们批量设置 CORS 的相关配置，例如允许请求的来源地址、允许使用的 HTTP 方法、允许的请求头等。
单个路由设置
对于一些特定的路由，我们可能需要对他们的 CORS 设置进行单独的配置。这时，我们可以在路由配置的 cors 属性中设置这个路由的 CORS 相关配置。比如：
----- ------ - -------------
----- -----
----- -----------
---
--------------
------- ------
----- ---------
-------- -------- --------- -- -
------ ------ --------
--
-------- -
----- -
------- ----------------------------
------------------ ----------------- -------------------
-
-
---在上述代码中，我们在路由配置的 options 属性中设置了 cors 属性，这表示我们希望为这个路由设置单独的 CORS 配置。在这个配置中，我们允许了一个特定的来源地址（http://your-website.com）和两个特定的 HTTP 请求头（cache-control 和 x-requested-with）。
全局设置
除了单个路由的设置外，我们还可以在 Hapi.js 的服务器实例创建时设置全局的 CORS 配置，这样所有的路由都会共享这些设置。比如：
----- ------ - --- -------------
----- -----
----- ------------
------- -
----- -
------- ----------------------------
------------------ ----------------- -------------------
-
-
---在上述代码中，我们在创建服务器实例时设置了全局的 CORS 配置，这样所有路由都会共享这些设置。同样地，我们允许了一个特定的来源地址（http://your-website.com）和两个特定的 HTTP 请求头（cache-control 和 x-requested-with）。
自定义 CORS 处理程序
除了使用 hapijs/cors 插件以外，我们还可以使用 Hapi.js 的自定义 CORS 处理程序。这样，我们可以更完全地掌控 CORS 的处理逻辑。比如：
----- ------ - --- -------------
----- -----
----- -----------
---
--------------------------- --------- -- -- -
----- -------- - -----------------
-- ----------------- -- --------------------- --- ----- -
----------------------------------------------- - ----
---------------------------------------------------- - -------
-
------ -----------
---在上述代码中，我们使用 server.ext 方法注册了一个 onPreResponse 类型的扩展点，这样就可以在每次请求结束后执行特定的处理程序。这个处理程序会检查响应是否存在错误，并且是否是由 WebSocket 协议发起的请求。在这种情况下，我们直接继续，不做任何处理。否则，我们设置两个 CORS 相关的 HTTP 响应头：access-control-allow-origin（允许跨域访问的源地址）和 access-control-allow-credentials（是否允许跨域请求携带 cookie 等凭据）。
结论
CORS 是一个非常重要的安全机制，它可以帮助我们防止跨站点攻击，并且可以方便地控制 API 的跨域访问性。在 Hapi.js 中，我们可以使用 hapijs/cors 插件、单个路由设置、全局设置、自定义 CORS 处理程序等多种方式来优化我们的 CORS 配置，以确保 API 的安全性和可用性。
来源：JavaScript中文网 ，转载请联系管理员！ 本文地址：https://www.javascriptcn.com/post/66f76c8bc5c563ced59b57ce