Cors und Header

Question

Ich habe ein paar Probleme mit Cors und Header. Ich habe die unten Middleware:

res.header('Access-Control-Allow-Origin', '*'); 
res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE'); 
res.header('Access-Control-Allow-Headers', 'Content-Type,X-Access-Token,Authorization'); 
next(); 

Danach habe ich eine andere Middleware müssen zu prüfen, token:

const token = req.body.token || req.query.token || req.headers['x-access-token']; 

    if (token) { 
     jwt.verify(token, config.jwtKey, (err, decoded) => { 
      if(err) { 
       return res.json({success: false, errmsg: 'Wrong key'}); 
      } else { 
       req.decoded = decoded; 
       next(); 
      } 
     }); 
    } else { 
     return res.status(403) 
      .send({ 
       success: false, 
       message: "No token provided" 
      }); 
    } 

Aber wenn ich req.headers log:

{ host: 'localhost:4556', 
    connection: 'keep-alive', 
    'access-control-request-method': 'POST', 
    origin: 'http://localhost:4200', 
    'user-agent': 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_11_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/59.0.3071.115 Safari/537.36', 
    'access-control-request-headers': 'authorization,content-type,x-access-token', 
    accept: '*/*', 
    dnt: '1', 
    referer: 'http://localhost:4200/posts', 
    'accept-encoding': 'gzip, deflate, br', 
    'accept-language': 'sv,en-US;q=0.8,en;q=0.6' } 

Es gibt kein „X -access-token "in meinen Headern, außer in" access-control-request-headern ". Und es ist nur der Name. Etwas muss falsch sein, aber alles, was ich beim googlen fand, war Access-Control-Allow-Headers.

Answer 1

Sie betrachten ein preflight OPTIONS request. Das kann durch eine Anzahl von Bedingungen ausgelöst werden, von denen eine "Setzt eine nicht standardmäßige Kopfzeile" (wie X-access-token).

Der Browser wird die POST-Anforderung (mit der X-access-token-Kopfzeile) nicht vornehmen, bis der Server auf die OPTIONS-Anfrage reagiert und ihr die Berechtigung erteilt.

Sie müssen OPTIONS-Anfragen von Ihrem Token ausschließen, um die Middleware zu prüfen, so dass Sie 403 nicht als Antwort auf das Preflight zurücksenden (das das Token nie enthalten wird).