CORS（跨域资源共享）是一种请求方式，用于允许跨域访问另一个域中的资源。在 Web 应用中，如果我们需要在一个域名下使用另一个域名的数据或资源，比如使用 Ajax 请求外部 API，就需要使用 CORS 技术避免浏览器限制请求。
HapiJS 是一个 Node.js 的 Web 开发框架，它提供了一种简单易用的方式来管理 Web API 的逻辑。在这里，我们将探讨 HapiJS 中如何使用 CORS，并介绍一些基本的知识和示例代码。
什么是 CORS？
CORS 是一种浏览器安全机制，允许 Web 应用程序从不同的域访问另一个域的资源。一般情况下，浏览器会限制跨域请求，因为这可能会导致安全问题。
Web 应用中的跨域访问通常使用 XMLHttpRequest 或 Fetch API 完成。这两种方式都遵循 CORS 规范，这意味着要在服务器端配置 Access-Control-Allow-Origin 和其他 CORS 相关的 HTTP 头来允许跨域请求。
HapiJS 中的 CORS 配置
HapiJS 提供了一种简单易用的方式来使用 CORS。仅需在 API 的配置中添加一些配置项，就可以配置 CORS。下面是一个简单的示例：
-- -------------------- ---- -------
----- ---- - ----------------------
----- ------ - --- -------------
----- -----
----- -----------
---
----- ---- - ----- -- -- -
----- -----------------
------- ----------------------
-------- -
-------- -----
-
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ ------ --------
-
---
----- ---------------
------------------- ------- --- ---------------------
--
-------在这个示例中，我们使用了 @hapi/cors 插件，并将参数传递给 options 对象。这里设置了 origins 属性，允许跨域访问所有域。
当我们发送一个 GET 请求来访问根路径时，它将返回 ‘Hello World!’ 消息。由于我们已经启用了 CORS，因此我们可以从其他域访问该 API。如果您尝试访问该 API，您将看到类似以下内容的响应头：
Access-Control-Allow-Origin: *
这表示允许任何其他域从浏览器访问该 API。
CORS 配置选项
HapiJS 的 @hapi/cors 插件支持许多可配置的选项。下面是一些示例选项：
-- -------------------- ---- -------
----- ---- - ----- -- -- -
----- -----------------
------- ----------------------
-------- -
-------- -----------------------
-------- -------- ------ -------
-------- -----------------
--------------- ---------------------
------------ -----
------- -- - -- - -- - --
----------- --------
-
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ ------ --------
-
---
----- ---------------
--origins：允许访问 API 的来源列表。可以是具体的域名或 IP 地址，也可以是通配符（*），表示允许任何域名的请求。methods：允许访问 API 的 HTTP 方法列表。默认为 GET, POST 和 OPTIONS。headers：允许访问 API 的 HTTP 标头列表。默认为 cache-control, content-language, content-type, expires, last-modified, pragma。exposedHeaders：允许暴露 API 响应的 HTTP 标头列表。如果客户端想要访问需要 CORS 支持的自定义响应头，则必须在此处设置。credentials：指示是否允许带有凭证的请求。默认为 false。maxAge：确定 CORS 预检请求的存活时间（以秒为单位）。默认为 null。varyHeader：指示是否添加 Vary 标头，用于表明响应基于跨域请求中的 Origin 头变化而变化。默认为 'Origin'。
CORS 的安全注意事项
在处理 CORS 时，我们需要注意以下事项：
- 在设置 origins 属性时，应小心避免使用 *，这可能导致 CORS 安全问题。应使用具体的域名或 IP 地址。如果您确实需要使用通配符，请仅允许可信域访问 API。
- 开启 withCredentials 属性可能会导致安全漏洞。请仅在有必要时使用它，并且仅允许可信的域使用。
- 谨慎暴露自定义响应头，以避免泄露敏感信息。
结论
CORS 是一项有用的技术，在 Web 开发中经常使用。在使用 HapiJS 开发 Web API 时，@hapi/cors 插件可以帮助我们轻松处理跨域请求。在使用时请务必小心避免安全问题，并遵循安全最佳实践。
现在，您已经了解了如何在 HapiJS 中使用 CORS，快去尝试吧！
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/66fba54e4471362601600027