Experience Cloud Identity 服务中的 CORS 支持

浏览器使用跨域资源共享 (CORS) 从某个域而非当前域请求资源。Experience Cloud Identity 服务支持可启用这些客户端跨域资源请求的 CORS 标准。ID 服务会在旧版浏览器或不支持 CORS 的浏览器上还原为 JSONP 请求。

同域策略和 ID 服务请求的问题

同域策略是由 Web 浏览器强制实施的安全控制或限制。在此级别强制实施这些策略后，Web 浏览器本身会确定是允许还是阻止从一个页面向另一个页面发出的资源请求。为确定某个请求是否为同域请求，该浏览器会比较：

• 统一资源标识符 (URI)
• 主机名（例如 http://www.my-webpage-example.com）
• 端口号（例如 HTTP 和 HTTPS 请求对应的端口号分别为 80 和 440）

如果两个页面都具有这些特征，浏览器会允许请求成功；否则会阻止资源请求。

CORS 会根据同域策略解决问题

CORS 提供一种安全高效的方法来跨不同域请求资源。CORS 规范包含一组 HTTP 标头，供浏览器用于发送、接收和评估资源请求。评估资源请求称为 preflight check。此检查可让浏览器和服务器确定允许或阻止哪些请求。预检对请求资源的应用程序、API 或脚本是透明的。在资源请求流程中很重要的两个标头包括：

• Origin：识别请求源的请求标头。
• Access-Control-Allow-Origin：指示某个资源能否与请求者共享的响应标头。

下面我们看一看这些标头的工作方式。在此示例中，假设有一家金融服务公司在其网站 www.finance-website.com 上实施了 Experience Cloud ID 服务。下表定义了 CORS 请求和响应标头如何检查对资源的访问权限。

另请参阅 useCORSOnly。

使用 CORS 的其他好处

下表介绍了 CORS 为使用 ID 服务的客户带来的一些优势。