javascript - 如何只允许Web应用程序访问Web服务？

Question

我有一个 Web 应用程序，它可以通过 JavaScript 调用 Web 服务。我不想让访问任何程序(例如 SOAP ui/curl)向我的 Web 服务发出发布请求。在响应 header 中，我仅对我的网页进行过滤:

Access-Control-Allow-Origin:http://myurl.com

当我从本地计算机发出请求时，服务器不允许这样做:

XMLHttpRequest: cannot load http://myurl.com/service/rest/user/add. The Access-Control-Allow-Origin header has a value http://myurl.com that is not equal to the supplied origin. Origin http://localhost:9000 is therefore not allowed access.

这很好，我很高兴，但显然我可以使用 Soap ui/curl 进行上述调用，并且服务允许这样做。此调用的 header :

=== MimeHeaders ===
accept-encoding = gzip,deflate
content-type = application/json
content-length = 39
host = localhost:8080
connection = Keep-Alive
user-agent = Apache-HttpClient/4.1.1 (java 1.5)

如何仅允许我的网络应用源调用该服务？

Answer 1

CORS 仅适用于浏览器沙箱。如果你想阻止访问，请输入一些身份验证，例如 basic auth或使用一些自定义 header 将调用列入白名单。