Mid⏱ 12 دقیقه1 بخش · 3 نکته

مرور سریع CORS

مکانیزم مرورگر برای کنترل اینکه کدام دامنه‌ها اجازهٔ فراخوانی API شما را دارند.

0 از 3 نکته مرور شد0٪

فقط نکات طلایی ⭐

فهرست بخش‌ها

مفهوم و پیکربندی CORS0/3

مفهوم و پیکربندی CORS0/3

چرا CORS وجود دارد و چطور تنظیم می‌شود.

Same-Origin Policy و دلیل وجود CORS⭐ طلایی

مرورگرها به‌طور پیش‌فرض درخواست از یک دامنه به دامنهٔ دیگر را با Same-Origin Policy مسدود می‌کنند؛ CORS مکانیزمی است که به سرور اجازه می‌دهد صراحتاً استثنا اعلام کند کدام Origin ها مجازند.

💡 نکتهٔ مصاحبه:

نکتهٔ مهم: CORS یک محدودیت سمت مرورگر است، نه سمت سرور — یک ابزار مثل Postman یا curl هرگز توسط CORS مسدود نمی‌شود.

⚠️ اشتباه رایج:

فکر‌کردن به CORS به‌عنوان یک لایهٔ امنیتی سمت سرور که از حملات جلوگیری می‌کند؛ CORS فقط رفتار مرورگر را کنترل می‌کند.

Preflight Request (OPTIONS)⭐ طلایی

برای درخواست‌های «پیچیده» (مثل متد PUT یا هدرهای سفارشی)، مرورگر ابتدا یک درخواست OPTIONS می‌فرستد تا از سرور بپرسد آیا درخواست اصلی مجاز است، قبل از ارسال درخواست واقعی.

csharp\napp.UseCors(policy => policy\n .WithOrigins(""https://myapp.com"")\n .AllowAnyMethod().AllowAnyHeader());\n

خطر AllowAnyOrigin با Credentials⭐ طلایی

فعال‌کردن هم‌زمان AllowAnyOrigin و AllowCredentials یک ریسک امنیتی جدی است چون هر سایتی می‌تواند با اطلاعات ورود کاربر (کوکی) به API شما درخواست بزند؛ اکثر فریمورک‌ها این ترکیب را اصلاً اجازه نمی‌دهند.

⚠️ اشتباه رایج:

تنظیم CORS با AllowAnyOrigin در Production فقط برای رفع سریع خطای CORS در توسعه، بدون بازگرداندن آن به یک لیست محدود دامنه‌های مجاز.