تعد مشاركة الموارد عبر الأصل (CORS) آلية أمان أساسية في تطوير الويب الحديث والتي تتيح الاتصال الآمن وتبادل البيانات بين المجالات المختلفة. وهو عنصر أساسي للتشغيل السليم لتطبيقات الويب، خاصة في سياق الأنظمة الموزعة والبنية التحتية السحابية. يسمح CORS لتطبيق ويب يعمل على مجال واحد (أصل) بطلب الموارد، مثل الخطوط أو الصور أو البرامج النصية أو بيانات واجهة برمجة التطبيقات، من مجال مختلف دون انتهاك سياسة المصدر نفسه (SOP) المضمنة في متصفح الويب. يعد SOP ميزة أمان تمنع صفحات الويب من التفاعل مع الموارد من مصدر مختلف، مما يحمي المستخدمين من الثغرات الأمنية المحتملة مثل تزوير الطلبات عبر المواقع (XSRF) وهجمات البرمجة النصية عبر المواقع (XSS).
في بيئة تدعم CORS، يشارك كل من العميل (متصفح الويب) والخادم (موفر الموارد) في عملية التفاوض لتحديد ما إذا كان مسموحًا بمشاركة الموارد عبر الأصل. تتضمن عملية التفاوض هذه، المعروفة باسم بروتوكول CORS، تبادل رؤوس HTTP بين العميل والخادم. يتكون بروتوكول CORS من مكونين أساسيين: طلبات الاختبار المبدئي والطلبات الفعلية.
طلب الاختبار المبدئي هو طلب HTTP OPTIONS يرسله العميل قبل الطلب الفعلي، لتحديد ما إذا كان الخادم يدعم إعدادات CORS اللازمة لنجاح الطلب الفعلي. يستجيب الخادم برؤوس محددة متعلقة بـ CORS، مما يشير إلى استعداده لقبول الطلبات عبر الأصل وأي شروط أو قيود إضافية (مثل طرق HTTP ورؤوسها المسموح بها). إذا نجح طلب الاختبار المبدئي، فسيتابع العميل الطلب الفعلي، والذي قد يكون HTTP GET أو POST أو PUT أو DELETE أو أي طريقة أخرى مدعومة.
لدعم CORS، يجب أن تتضمن خوادم الويب والتطبيقات رؤوس HTTP المناسبة ذات الصلة بـ CORS في استجاباتها. تتضمن هذه الرؤوس:
-
Access-Control-Allow-Origin: يشير إلى الأصول (المجالات) المسموح لها بالوصول إلى الموارد. يمكن ضبطه على مجال معين أو حرف بدل (*) للسماح بأي مجال. -
Access-Control-Allow-Methods: يسرد أساليب HTTP المسموح بها للطلبات عبر الأصل، مثل GET وPOST وPUT وDELETE وما إلى ذلك. -
Access-Control-Allow-Headers: يحدد رؤوس HTTP المسموح بها للطلبات ذات الأصل المشترك، مثل نوع المحتوى والتفويض وما إلى ذلك. -
Access-Control-Expose-Headers: يسرد الرؤوس التي يمكن للعميل الوصول إليها في استجابة الخادم، مما يمكّن العميل من قراءة الرؤوس المخصصة من الخادم. -
Access-Control-Allow-Credentials: يشير إلى ما إذا كان مسموحًا بالطلبات المشتركة الأصل التي تحتوي على ملفات تعريف الارتباط أو بيانات الاعتماد الأخرى. -
Access-Control-Max-Age: يحدد الحد الأقصى للوقت (بالثواني) الذي يمكن للعميل تخزين نتائج طلب الاختبار المبدئي فيه، مما يقلل الحاجة إلى طلبات الاختبار المبدئي المتعددة.
في AppMaster ، يتم إنشاء تطبيقات الواجهة الخلفية التي تم إنشاؤها بدعم CORS، مما يتيح التكامل السلس مع تطبيقات الويب والهاتف المحمول التي يمكن استضافتها في نطاقات مختلفة. علاوة على ذلك، توفر منصة AppMaster واجهة ملائمة لإدارة إعدادات CORS، مما يسهل على المطورين تكوين الرؤوس المناسبة ذات الصلة بـ CORS لتناسب حالات الاستخدام المحددة الخاصة بهم. وهذا يضمن أن التطبيقات التي تم إنشاؤها تتوافق مع أفضل الممارسات في مجال أمن الويب مع السماح بالمرونة في النشر والتكامل مع الخدمات الأخرى.
بالإضافة إلى دعم AppMaster المدمج لـ CORS، يمكن لمطوري الويب أيضًا الاستفادة من العديد من المكتبات مفتوحة المصدر وحلول البرامج الوسيطة لتمكين CORS في تطبيقاتهم. بعض المكتبات الشعبية تشمل:
-
corsلـ Node.js و Express -
rack-corsلتطبيقات Ruby وRack -
django-cors-headersلتطبيقات الويب Django -
flask-corsلتطبيقات الويب Flask
في الختام، تعد مشاركة الموارد عبر الأصل (CORS) جانبًا مهمًا في تطوير الويب الحديث الذي يتيح المشاركة الآمنة للموارد والبيانات بين المجالات المختلفة. فهو يوفر حلاً أساسيًا للتغلب على قيود سياسة المصدر نفسه، مع الحفاظ على مستوى الأمان المطلوب في عالم تطبيقات الويب المترابط. تتضمن منصة AppMaster no-code آلية CORS، مما يؤدي إلى إنشاء تطبيقات خلفية وويب وتطبيقات الهاتف المحمول تلتزم بأفضل الممارسات في أمان الويب. وبهذه الطريقة، يعمل AppMaster على تمكين المطورين والشركات من إنشاء تطبيقات قابلة للتطوير وآمنة بشكل أسرع وأكثر فعالية من حيث التكلفة من أي وقت مضى.
