Experience Cloud Identity 服务中的 CORS 支持

浏览器使用跨域资源共享 (CORS) 从某个域而非当前域请求资源。Experience Cloud Identity 服务支持可启用这些客户端跨域资源请求的 CORS 标准。ID 服务会在旧版浏览器或不支持 CORS 的浏览器上还原为 JSONP 请求。

同域策略和 ID 服务请求的问题

同域策略是 Web 浏览器所实施的安全控制或限制。当在此级别实施时，Web 浏览器本身会确定是允许还是阻止从一个页面到另一个页面的资源请求。要确定请求是否是同域请求，浏览器将比较以下项：

• 统一资源标识符 (URI)
• 主机名（例如 http://www.my-webpage-example.com）
• 端口号（例如，分别用于 HTTP 和 HTTPS 请求的端口 80 和 440）

如果两个页面共享这些特征，则浏览器将允许请求成功，否则将阻止资源请求。

CORS 可解决同域策略问题

CORS 提供了一种安全、有效的方式，可跨越不同的域请求资源。CORS 规范包括一组 HTTP 标头，浏览器将使用这些标头来发送、接收和评估资源请求。评估资源请求被称为 preflight check。浏览器和服务器可通过此检查确定允许或阻止的请求。预检检查对请求资源的应用程序、API 或脚本来说是透明的。在资源请求流程中，两个重要的标头是：

• Origin：识别请求源的请求标头。
• Access-Control-Allow-Origin：指示某个资源能否与请求者共享的响应标头。

下面我们看一看这些标头的工作方式。在此示例中，假设有一家金融服务公司在其网站 www.finance-website.com 上实施了 Experience Cloud ID 服务。下表定义了 CORS 请求和响应标头如何检查对资源的访问。

另请参阅 useCORSOnly。

使用 CORS 的其他好处

下表描述了 CORS 为使用 ID 服务的客户带来的一些益处。