CORS-Unterstützung im Experience Cloud Identity-Dienst

Browser verwenden Cross Origin Resource Sharing (CORS) zum Anfordern von Ressourcen von einer Domäne, die nicht der aktuellen Domäne entspricht. Der Experience Cloud Identity-Dienst unterstützt CORS-Standards, die diese clientseitigen, ursprungsübergreifenden Ressourcenanforderungen ermöglichen. Der ID-Dienst greift bei älteren Browsern oder Browsern ohne CORS-Unterstützung auf JSONP-Anforderungen zurück.

Probleme mit Gleiche-Herkunft-Richtlinien und ID-Dienstanforderungen

Richtlinien derselben Herkunft sind Sicherheitskontrollen oder Einschränkungen, die von einem Webbrowser erzwungen werden. Wenn dies auf dieser Ebene erzwungen wird, bestimmt der Webbrowser selbst, ob eine Anforderung von Ressourcen, die von einer Seite zur anderen gesendet werden, zulässig oder blockiert wird. Um festzustellen, ob es sich bei einer Anforderung um eine Anforderung mit derselben Herkunft handelt, vergleicht der Browser Folgendes:

• Uniform Resource Identifiers (URIs)
• Hostnamen (z. B. http://www.my-webpage-example.com)
• Anschlussnummern (z. B. Port 80 und 440 für HTTP- und HTTPS-Anforderungen)

Der Browser ermöglicht eine erfolgreiche Anforderung, wenn beide Seiten dieselben Eigenschaften aufweisen, und blockiert Ressourcenanforderungen, wenn dies nicht der Fall ist.

CORS behebt Probleme mit Gleiche-Herkunft-Richtlinien

CORS bietet eine sichere und effektive Möglichkeit, Ressourcen über verschiedene Domänen hinweg anzufordern. Die CORS-Spezifikation enthält eine Reihe von HTTP-Headern, die Browser zum Senden, Empfangen und Auswerten von Ressourcenanforderungen verwenden. Die Evaluierung einer Ressourcenanforderung heißt preflight check. Mit dieser Prüfung können Browser und Server bestimmen, welche Anforderungen zulässig oder blockiert sind. Die Preflight-Prüfung ist transparent für die App, API oder das Skript, die/das eine Ressource anfordert. Zwei Header, die für den Ressourcenanforderungsprozess wichtig sind, sind:

• Origin: Ein Anforderungsheader, der die Anforderungsquelle ermittelt.
• Access-Control-Allow-Origin: Ein Antwortheader, der angibt, ob eine Ressource für den Anforderer freigegeben werden kann.

Im Folgenden wird die Funktionsweise dieser Header erläutert. Angenommen, ein Finanzdienstleistungsunternehmen hat den Experience Cloud ID-Dienst auf der eigenen Site www.finance-website.com implementiert. Die folgende Tabelle definiert, wie die CORS-Anforderungs- und Antwortheader den Zugriff auf eine Ressource prüfen.

Siehe auch useCORSOnly.

Weitere Vorteile der Verwendung von CORS

In der folgenden Tabelle werden einige der Vorteile beschrieben, die CORS Kunden bietet, die den ID-Dienst verwenden.