jjzjj

firebase - Sec-Fetch-Mode 而不是 Preflight

coder 2024-12-29 原文

我创建了登录 FE 并完成了它。 和往常一样，我的 ajax goto 是 Axios。我的代码如下。

const baseUrl = http://localhost:5000/project/us-central1/api

Axios.post(
 `${baseUrl}/v1/user/login`,
 { ...data },
 {
  headers: {
   Authorization: 'Basic auth...'
  }
 },
).then(r => console.log(r).catch(e =>console.log(e));

现在，当我尝试向我的本地 firebase 云函数发送请求时。 我收到 400 错误请求。

检查请求后，我想知道为什么它没有发送任何预检请求，而它应该这样做(据我所知)，但我看到了一个名为 Sec-Fetch-Mode 的 header .我在任何地方搜索它有点抽象。而且我似乎无法弄清楚为什么我的请求仍然失败。

我的 axios 配置中是否缺少任何内容？ ？

我的 FE 在名为 live server(http://127.0.0.1:5500) 的 VSCode 插件 上运行

此外，我的 firebase 云功能已启用 cors 

// cloud function expres app
cors({
 origin: true
})

任何见解都会非常有帮助。

最佳答案

OPTIONS实际上正在发送请求，因为您正在发送带有 Authorization 的跨源请求被认为是非简单的 header 。由于 Chrome 76 和 77 中的功能/错误，它不会显示在开发人员工具中。请参阅 Chrome not showing OPTIONS requests in Network tab获取更多信息。

预检请求是一种机制，如果服务器不知道 CORS(例如:旧的且未维护)，或者如果它明确想要拒绝，则允许在浏览器端拒绝跨域请求跨源请求(在这两种情况下，服务器都不会设置 Access-Control-Allow-Origin header )。 CORS 所做的可以在服务器端通过检查 Origin 来完成。 header ，但 CORS 实际上在浏览器级别保护用户。它甚至在发送之前就阻止不允许的跨域请求，从而减少网络流量、服务器负载，并防止旧服务器默认接收任何跨域请求。

另一方面，Sec-Fetch-Mode是 Fetch metadata headers 之一( Sec-Fetch-Dest 、 Sec-Fetch-Mode 、 Sec-Fetch-Site 和 Sec-Fetch-User )。这些 header 旨在通知服务器有关发送请求的上下文。基于这些额外的信息，服务器能够确定请求是否合法，或者干脆拒绝它。它们的存在是为了帮助 HTTP 服务器减轻某些类型的攻击，与 CORS 无关。

例如好老<img src="https://mybank.com/giveMoney?amount=9999999&to=evil@attacker.com">可以在服务器端检测到攻击，因为 Sec-Fetch-Dest将设置为 "image" (这只是一个简单的示例，暗示服务器使用 GET 方法公开端点，并使用不安全的 cookie 进行货币操作，这在现实生活中显然不是这种情况)。

总而言之，获取元数据 header 并不是为了取代预检请求而设计的，而是为了与它们共存，因为它们满足不同的需求。而 400 错误可能与这些无关，而是与不符合端点规范的请求有关。

关于firebase - Sec-Fetch-Mode 而不是 Preflight，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/57518225/

Sec-Fetch-ModePreflightcodesectionFetchfirebaseexpressaxiosgoogle-cloud-functions

有关firebase - Sec-Fetch-Mode 而不是 Preflight的更多相关文章

  1. ruby - 如何为 emacs 安装 ruby​​-mode - 2

    我刚刚为fedora安装了emacs。我想用emacs编写ruby。为ruby​​提供代码提示、代码完成类型功能所需的工具、扩展是什么？ 最佳答案 ruby-mode已经包含在Emacs23之后的版本中。不过，它也可以通过ELPA获得。您可能感兴趣的其他一些事情是集成RVM、feature-mode(Cucumber)、rspec-mode、ruby-electric、inf-ruby、rinari(用于Rails)等。这是我当前用于Ruby开发的Emacs配置:https://github.com/citizen428/emacs

  2. ruby-on-rails - 使用 rails 4 设计而不更新用户 - 2

    我将应用程序升级到Rails4，一切正常。我可以登录并转到我的编辑页面。也更新了观点。使用标准View时，用户会更新。但是当我添加例如字段:name时，它​​不会在表单中更新。使用devise3.1.1和gem'protected_attributes'我需要在设备或数据库上运行某种更新命令吗？我也搜索过这个地方，找到了许多不同的解决方案，但没有一个会更新我的用户字段。我没有添加任何自定义字段。 最佳答案 如果您想允许额外的参数，您可以在ApplicationController中使用beforefilter，因为Rails4将参数

  3. 【Java 面试合集】HashMap中为什么引入红黑树，而不是AVL树呢 - 2

    HashMap中为什么引入红黑树，而不是AVL树呢1.概述开始学习这个知识点之前我们需要知道，在JDK1.8以及之前，针对HashMap有什么不同。JDK1.7的时候，HashMap的底层实现是数组+链表JDK1.8的时候，HashMap的底层实现是数组+链表+红黑树我们要思考一个问题，为什么要从链表转为红黑树呢。首先先让我们了解下链表有什么不好？？？2.链表上述的截图其实就是链表的结构，我们来看下链表的增删改查的时间复杂度增：因为链表不是线性结构，所以每次添加的时候，只需要移动一个节点，所以可以理解为复杂度是N(1)删：算法时间复杂度跟增保持一致查：既然是非线性结构，所以查询某一个节点的时候

  4. ruby-on-rails - 只有当不是 nil 时才执行映射？ - 2

    如果names为nil，则以下中断。我怎样才能让这个map只有在它不是nil时才执行？self.topics=names.split(",").mapdo|n|Topic.where(name:n.strip).first_or_create!end 最佳答案 其他几个选项:选项1(在其上执行map时检查split的结果):names_list=names.try(:split,",")self.topics=names_list.mapdo|n|Topic.where(name:n.strip).first_or_create!e

  5. ruby-on-rails - Rails 格式验证——字母数字，但不是纯数字 - 2

    什么是测试格式验证的最佳方法让我们说一个用户名，使用字母数字的正则表达式，但不是纯数字？我一直在我的模型中使用以下验证validates:username,:format=>{:with=>/^[a-z0-9]+[-a-z0-9]*[a-z0-9]+$/i}数字用户名(例如“342”)通过了验证，这是我不想要的。 最佳答案 您想“向前看”一封信:/\A(?=.*[a-z])[a-z\d]+\Z/i 关于ruby-on-rails-Rails格式验证——字母数字，但不是纯数字，我们在Sta

  6. ruby - 强制浏览器下载文件而不是打开文件 - 2

    我要下载http://foobar.com/song.mp3作为song.mp3，而不是让Chrome在其native中打开它浏览器中的播放器。我怎样才能做到这一点？ 最佳答案 您只需要确保发送这些header:Content-Disposition:attachment;filename=song.mp3;Content-Type:application/octet-streamContent-Transfer-Encoding:binarysend_file方法为您完成:get'/:file'do|file|file=File.

  7. ruby - 更改 $LOAD_PATH 时，为什么使用 unshift 而不是 push？ - 2

    我发现ruby加载路径是一个数组，很多项目都是这样使用的:$:.unshift(File.expand_path("../../lib",__FILE__))可以将本地文件添加到ruby路径数组的前面，方便我们require或者load。所以，我希望知道为什么我们不使用push将文件添加到数组的末尾？ 最佳答案 假设您有一个“date.rb”文件(为什么不呢)并且您想要加载这个文件，而不是标准库日期。如果您使用追加，当您调用require'date'时您的文件将永远不会被加载，因为它位于数组的末尾并且标准日期会在之前找到。因此，如果

  8. ruby - 如何排序不是简单的哈希(哈希的哈希) - 2

    我有一个这样的哈希{55=>{:value=>61,:rating=>-147},89=>{:value=>72,:rating=>-175},78=>{:value=>64,:rating=>-155},84=>{:value=>90,:rating=>-220},95=>{:value=>39,:rating=>-92},46=>{:value=>97,:rating=>-237},52=>{:value=>73,:rating=>-177},64=>{:value=>69,:rating=>-167},86=>{:value=>68,:rating=>-165},53=>{:va

  9. ruby - Unicorn 使用 `reload` 而不是 `restart`？ - 2

    我在这里对我的部署策略有点困惑，在什么情况下部署时我想向unicorn发送reload信号？例如在我的例子中它会是这样的:sudokill-sUSR2`cat/home/deploy/apps/my_app/current/tmp/pids/unicorn.pid`我一直在通过杀死那个pid来部署我的应用程序，然后通过类似的东西再次启动unicorn:bundleexecunicorn-cconfig/unicorn/production.rb-Eproduction-D我只是想知道为什么要使用重新加载？我可以通过这样做获得部署的任何性能吗？ 最佳答案

  10. ruby - 使用 Ruby FileUtils 而不是 Bash 命令的好处？ - 2

    使用FileUtils方法有什么好处http://ruby-doc.org/core/classes/FileUtils.html比等效的Bash命令？ 最佳答案 除此之外，您不必担心确保您的目标平台安装了您正在使用的特定工具这一事实，以及正确引用shell异常的问题(如果您的目标是特别有问题的)Windows和Unix-alikes——尽管有Cygwin、GNUWin32等)，如果你使用Ruby的FileUtils，你有一个Ruby函数调用的中等大小的开销，而如果你使用外部实用程序，你有相当大的开销来启动一个外部进程的每一次“调用

随机推荐