Entenda o compartilhamento de recursos entre origens (CORS)

O compartilhamento de recursos entre origens (CORS) do Adobe Experience Manager ajuda propriedades da web que não são do AEM a fazerem chamadas do lado do cliente para o AEM, tanto autenticadas quanto não autenticadas, para obter conteúdo ou interagir diretamente com o AEM.

A configuração de OSGI descrita neste documento é suficiente para:

Se o acesso do CORS de várias origens for necessário no AEM Publish, consulte esta documentação.

Configuração de OSGi da política de compartilhamento de recursos entre origens do Adobe Granite

As configurações do CORS são gerenciadas como fábricas de configuração de OSGi no AEM, sendo que cada política é representada como uma instância da fábrica.

Adobe Granite Cross-Origin Resource Sharing Policy (com.adobe.granite.cors.impl.CORSPolicyImpl)

Seleção de política

Uma política é selecionada, comparando-se o

A primeira política correspondente a esses valores é usada. Se nenhuma for encontrada, qualquer solicitação CORS será negada.

Se nenhuma política for configurada, as solicitações CORS também não serão respondidas, pois o tratador estará desabilitado e, portanto, será efetivamente negado, desde que nenhum outro módulo do servidor responda a CORS.

Propriedades da política

Origens permitidas

Origens permitidas (Regexp)

Caminhos permitidos

Cabeçalhos expostos

Idade máxima

Cabeçalhos aceitos

Métodos permitidos

Permite credenciais

Exemplos de configurações

O site 1 é um caso básico, acessível anonimamente e somente de leitura, no qual o conteúdo é consumido por meio de solicitações GET:

{
  "supportscredentials":false,
  "exposedheaders":[
    ""
  ],
  "supportedmethods":[
    "GET",
    "HEAD"
  ],
  "alloworigin":[
    "http://127.0.0.1:3000",
    "https://site1.com"

  ],
  "maxage:Integer": 1800,
  "alloworiginregexp":[
    "http://localhost:.*"
    "https://.*\.site1\.com"
  ],
  "allowedpaths":[
    "/content/_cq_graphql/site1/endpoint.json",
    "/graphql/execute.json.*",
    "/content/site1/.*"
  ],
  "supportedheaders":[
    "Origin",
    "Accept",
    "X-Requested-With",
    "Content-Type",
    "Access-Control-Request-Method",
    "Access-Control-Request-Headers"
  ]
}

O site 2 é mais complexo e requer solicitações autorizadas e mutantes (POST, PUT, DELETE):

{
  "supportscredentials":true,
  "exposedheaders":[
    ""
  ],
  "supportedmethods":[
    "GET",
    "HEAD"
    "POST",
    "DELETE",
    "PUT"
  ],
  "alloworigin":[
    "http://127.0.0.1:3000",
    "https://site2.com"

  ],
  "maxage:Integer": 1800,
  "alloworiginregexp":[
    "http://localhost:.*"
    "https://.*\.site2\.com"
  ],
  "allowedpaths":[
    "/content/site2/.*",
    "/libs/granite/csrf/token.json",
  ],
  "supportedheaders":[
    "Origin",
    "Accept",
    "X-Requested-With",
    "Content-Type",
    "Access-Control-Request-Method",
    "Access-Control-Request-Headers",
    "Authorization",
    "CSRF-Token"
  ]
}

Receios e configuração do armazenamento em cache do Dispatcher dispatcher-caching-concerns-and-configuration

A partir do Dispatcher 4.1.1+, os cabeçalhos de resposta podem ser armazenados em cache. Isso permite o armazenamento em cache de cabeçalhos CORS junto com os recursos solicitados por CORS, desde que a solicitação seja anônima.

Geralmente, as mesmas considerações para armazenamento em cache do conteúdo no Dispatcher podem ser aplicadas ao armazenamento em cache de cabeçalhos de resposta do CORS no Dispatcher. A tabela a seguir define quando cabeçalhos de CORS (e, portanto, solicitações CORS) podem ser armazenados em cache.

Permitir cabeçalhos de solicitação do CORS

Para permitir que os cabeçalhos de solicitação HTTP necessários sejam transmitidos para o AEM para processamento, eles precisam ser permitidos na configuração /clientheaders do Dispatcher.

/clientheaders {
   ...
   "Origin"
   "Access-Control-Request-Method"
   "Access-Control-Request-Headers"
}

Armazenamento em cache de cabeçalhos de resposta do CORS

Para permitir o armazenamento em cache e a veiculação de cabeçalhos do CORS no conteúdo em cache, adicione a configuração /cache /headers ao arquivo dispatcher.any do AEM Publish.

/publishfarm {
    ...
    /cache {
        ...
        # CORS HTTP response headers
        # https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS#the_http_response_headers
        /headers {
            ...
            "Access-Control-Allow-Origin"
            "Access-Control-Expose-Headers"
            "Access-Control-Max-Age"
            "Access-Control-Allow-Credentials"
            "Access-Control-Allow-Methods"
            "Access-Control-Allow-Headers"
        }
    ...
    }
...
}

Lembre-se de reiniciar o aplicativo do servidor da web depois de fazer alterações no arquivo dispatcher.any.

Provavelmente, será necessário limpar todo o cache para garantir que os cabeçalhos sejam armazenados em cache de maneira adequada na próxima solicitação após uma atualização da configuração /cache/headers.

Resolução de problemas do CORS

O registro em log está disponível no com.adobe.granite.cors:

Dicas:

Materiais de apoio