Entender o Compartilhamento de Recursos entre Origens (CORS)

O Compartilhamento de Recursos entre Origens (CORS) da Adobe Experience Manager facilita que propriedades da Web que não sejam de AEM façam chamadas do lado do cliente para AEM, tanto autenticadas quanto não autenticadas, para buscar conteúdo ou interagir diretamente com o AEM.

A configuração OSGI descrita neste documento é suficiente para:

Se o acesso ao CORS de várias origens for necessário no AEM Publish, consulte esta documentação.

Configuração OSGi da Política de Compartilhamento de Recursos entre Origens do Adobe Granite

As configurações do CORS são gerenciadas como fábricas de configuração OSGi no AEM, com cada política sendo representada como uma instância da fábrica.

Adobe Granite Cross-Origin Resource Sharing Policy (com.adobe.granite.cors.impl.CORSPolicyImpl)

Seleção de política

Uma política é selecionada comparando-se as

A primeira política correspondente a esses valores é usada. Se nenhum for encontrado, qualquer solicitação CORS será negada.

Se nenhuma política estiver configurada, as solicitações CORS também não serão respondidas, pois o manipulador está desabilitado e, portanto, efetivamente negado - desde que nenhum outro módulo do servidor responda a CORS.

Propriedades da política

Origens permitidas

Origens Permitidas (Regexp)

Caminhos permitidos

Cabeçalhos expostos

Idade Máxima

Cabeçalhos com suporte

Métodos permitidos

Dá Suporte A Credenciais

Exemplo de configurações

O Site 1 é um cenário básico, acessível anonimamente, somente leitura, em que o conteúdo é consumido por meio de GET solicitações:

{
  "supportscredentials":false,
  "exposedheaders":[
    ""
  ],
  "supportedmethods":[
    "GET",
    "HEAD"
  ],
  "alloworigin":[
    "http://127.0.0.1:3000",
    "https://site1.com"

  ],
  "maxage:Integer": 1800,
  "alloworiginregexp":[
    "http://localhost:.*"
    "https://.*\.site1\.com"
  ],
  "allowedpaths":[
    "/content/_cq_graphql/site1/endpoint.json",
    "/graphql/execute.json.*",
    "/content/site1/.*"
  ],
  "supportedheaders":[
    "Origin",
    "Accept",
    "X-Requested-With",
    "Content-Type",
    "Access-Control-Request-Method",
    "Access-Control-Request-Headers"
  ]
}

O site 2 é mais complexo e requer solicitações autorizadas e mutantes (POST, PUT, DELETE):

{
  "supportscredentials":true,
  "exposedheaders":[
    ""
  ],
  "supportedmethods":[
    "GET",
    "HEAD"
    "POST",
    "DELETE",
    "PUT"
  ],
  "alloworigin":[
    "http://127.0.0.1:3000",
    "https://site2.com"

  ],
  "maxage:Integer": 1800,
  "alloworiginregexp":[
    "http://localhost:.*"
    "https://.*\.site2\.com"
  ],
  "allowedpaths":[
    "/content/site2/.*",
    "/libs/granite/csrf/token.json",
  ],
  "supportedheaders":[
    "Origin",
    "Accept",
    "X-Requested-With",
    "Content-Type",
    "Access-Control-Request-Method",
    "Access-Control-Request-Headers",
    "Authorization",
    "CSRF-Token"
  ]
}

Preocupações e configuração do armazenamento em cache do Dispatcher dispatcher-caching-concerns-and-configuration

A partir do Dispatcher 4.1.1+, os cabeçalhos de resposta podem ser armazenados em cache. Isso permite o armazenamento em cache de cabeçalhos CORS junto com os recursos solicitados CORS, desde que a solicitação seja anônima.

Geralmente, as mesmas considerações para armazenamento em cache de conteúdo no Dispatcher podem ser aplicadas ao armazenamento em cache de cabeçalhos de resposta do CORS no dispatcher. A tabela a seguir define quando CORS cabeçalhos (e, portanto, CORS solicitações) podem ser armazenados em cache.

Permitir cabeçalhos de solicitação CORS

Para permitir que os cabeçalhos de solicitação HTTP necessários sejam transmitidos para AEM para processamento, eles devem ser permitidos na configuração /clientheaders do Dispatcher.

/clientheaders {
   ...
   "Origin"
   "Access-Control-Request-Method"
   "Access-Control-Request-Headers"
}

Armazenamento em cache de cabeçalhos de resposta do CORS

Para permitir o armazenamento em cache e a veiculação de cabeçalhos CORS no conteúdo em cache, adicione a seguinte configuração /cache /headers ao arquivo AEM Publish dispatcher.any.

/publishfarm {
    ...
    /cache {
        ...
        # CORS HTTP response headers
        # https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS#the_http_response_headers
        /headers {
            ...
            "Access-Control-Allow-Origin"
            "Access-Control-Expose-Headers"
            "Access-Control-Max-Age"
            "Access-Control-Allow-Credentials"
            "Access-Control-Allow-Methods"
            "Access-Control-Allow-Headers"
        }
    ...
    }
...
}

Lembre-se de reiniciar o aplicativo do servidor Web depois de fazer alterações no arquivo dispatcher.any.

Provavelmente, é necessário limpar totalmente o cache para garantir que os cabeçalhos sejam armazenados em cache de maneira adequada na próxima solicitação após uma atualização de configuração /cache/headers.

Solução de problemas do CORS

O log está disponível em com.adobe.granite.cors:

Dicas:

Materiais de suporte