Trình kiểm thử CORS

Các tiêu đề quan trọng

Yêu cầu đơn giản so với yêu cầu cần preflight

Một yêu cầu chỉ được coi là “đơn giản” (không cần preflight) khi tất cả các điều kiện sau đều đúng:

• Phương thức là GET, HEAD hoặc POST.
• Các tiêu đề chỉ giới hạn ở Accept, Accept-Language, Content-Language, Content-Type (với các giá trị cụ thể).
• Content-Type, nếu có, là application/x-www-form-urlencoded, multipart/form-data hoặc text/plain.

Bất kỳ thứ gì khác, nội dung JSON, tiêu đề Authorization, tiêu đề tùy chỉnh X-Foo, hoặc PUT/DELETE/PATCH, đều kích hoạt một preflight OPTIONS. Máy chủ phải trả lời preflight bằng các tiêu đề Allow-* phù hợp, nếu không yêu cầu thực sự sẽ không bao giờ được gửi đi.

Các lỗi CORS thường gặp

• “No Access-Control-Allow-Origin header” → máy chủ không thiết lập tiêu đề này. Hãy khắc phục ở phía máy chủ, không phải phía client.
• “Credentials mode requires Allow-Origin not to be *” → nếu bạn gửi cookie, Allow-Origin phải là một origin cụ thể (hoặc phản chiếu lại tiêu đề Origin).
• “Request header X not allowed” → thêm X vào Access-Control-Allow-Headers trong phản hồi preflight.
• “Method not allowed” → thêm phương thức đó vào Access-Control-Allow-Methods.
• “Redirect not allowed in preflight” → preflight không thể đi theo chuyển hướng. Endpoint OPTIONS phải phản hồi trực tiếp.

Allow-Origin: * so với phản chiếu Origin

Access-Control-Allow-Origin: * rất thoáng nhưng không thể kết hợp với thông tin xác thực. Trong môi trường production, hãy phản chiếu lại Origin của yêu cầu (sau khi đã xác thực với một danh sách cho phép) và đặt Allow-Credentials: true nếu bạn cần cookie.

Dùng proxy như một giải pháp thay thế

Nếu bạn không kiểm soát được máy chủ, một proxy mỏng trên chính tên miền của bạn sẽ loại bỏ hoàn toàn CORS, trình duyệt sẽ thấy đó là same-origin. Nhiều nền tảng lưu trữ (Vercel, Netlify, Cloudflare) cung cấp các quy tắc rewrite đúng cho mục đích này.