Richiesta CORS con Preflight e reindirizzamento: non consentito. Soluzioni alternative?

Question

Sto progettando un'API che consente all'utente di autenticare (utilizzando token) e che contiene reindirizzamenti all'interno dello stesso dominio. Ora, per una richiesta non autenticata a un endpoint che restituisce 303,

GET /documents/123 --> 303 redirect to `/documents/abc` 
GET /documents/abc --> 200 

tutto funziona bene.

Facciamo una richiesta autenticata allo stesso endpoint in cui viene inviata l'intestazione Authorization. Questo rende la richiesta di un preflighted request e il browser fa un OPTIONS richiesta di verifica preliminare, cioè

OPTIONS /documents/123 --> 204 (everything okay, please proceed) 
GET /documents/123  --> 303 redirect to `/documents/abc` 

A questo punto, invece di GET ting risorsa reale al /documents/abc, il browser ottiene

XMLHttpRequest cannot load http://localhost:8000/people/username/nschloe. 
The request was redirected to 'http://localhost:8000/people/YDHa-B2FhMie', 
which is disallowed for cross-origin requests that require preflight. 

Questo comportamento è in conformità con the standard:

7.1.5 Cross-origine R equest con verifica preliminare

Se la risposta ha un codice di stato HTTP che non è nel range 2xx

applicare i passaggi di errore di rete.

Questo sembra significare che uno non può fare reindirizza per le risorse autenticate, anche se il redirect è sullo stesso dominio (localhost).

Questo può essere vero? C'è una soluzione comune?

Answer 1

Lo standard originale preclude il reindirizzamento dopo un preflight CORS riuscito. Quoting § 7.1.5.3:

Questa è la richiesta effettiva. Applicare la procedura di richiesta e osservare le regole di richiesta di seguito mentre si effettua la richiesta.

• Se la risposta ha un codice di stato HTTP 301, 302, 303, 307, o 308 Applicare i passaggi di errore rete e della cache.

Grazie ai vostri sforzi (grazie!), Il 4 agosto il principio è stato updated per consentire reindirizzare dopo CORS successo controllo preflight.

Fino browser raggiungono, le uniche opzioni possibili sembrano essere uno o una combinazione di:

1. Problema reindirizza solo per simple requests.
2. Emettere a 305 redirect, con il proprio URL nell'intestazione Location come "proxy". Preparati per il supporto limitato del browser, poiché 305 è deprecato.
3. fare un falso "redirect":
   • HTML ritorno con meta refresh/o Javascript Location cambiamento e.
   • restituisce HTML che ha un viewport-filling iframe con il target di reindirizzamento come origine dell'iframe.
   • visualizza un collegamento che l'utente deve fare clic per accedere al contenuto.