cors - 即使将服务器域 URL 添加到权限中，源头也存在于 Chrome 应用程序的非 GET 请求中

Question

我正在开发一个 chrome 应用程序，它将通过 RESTful API 与服务器进行通信。

没有将服务器 URL 添加到 manifest.json 中的权限，我可以看到 Chrome 发送所有带有原始 header (chrome-extension://cpndc....) 的请求，如果这些请求中的任何一个具有非标准 header ，它还发送预检 OPTIONS 请求 - 这一切都符合预期。

将域添加到权限后，不再发送预检选项。源头不存在于 GET 调用中，但它仍然存在于 POST、PATCH、MERGE 调用中。

这会导致问题，因为我将使用的服务器上的 CORS 实现假定带有源头的请求是 CORS 请求，并以 403 错误响应，因为它不喜欢源 - 这个带有 chrome-extension 的源不在接受的源列表中.

根据 CORS 规范，期望源头应该只在跨域请求中添加 https://developer.mozilla.org/en-US/docs/HTTP/Access_control_CORS#Origin但是由于服务器域已添加到权限中，我希望不仅 GET 并且其他请求都没有它。

问题是:这是 Chrome Apps CORS 实现中的错误吗？

我在使用 Chrome 应用程序时的发现总结:

如果端点 URL 未添加到 list 文件中的权限(CORS 将启动):
- Chrome 应用程序在所有类型的请求中发送源头
- Chrome 应用程序为所有具有非标准 header 的请求发送 OPTIONS 预检

如果端点 URL 添加到 list 文件中的权限(对该域的请求的安全性关闭)
- Chrome 应用程序不再发送 OPTIONS 预检(正如预期的那样)
- Chrome 应用程序仅在非 GET 请求中发送源头(根本不应该发送源)

示例权限文件:

  "permissions": [
"http://api.randomuser.me/*"

]

示例应用代码:

window.onload = function() {

function get(){
    var xhr = new XMLHttpRequest();
    xhr.open("GET", "http://api.randomuser.me/?seed=bigFish", true);
    xhr.setRequestHeader('Authn', 'abcdefghijklmnopqrstuvxyz');
    xhr.onload = function (e) {
      if (xhr.readyState === 4) {
        if (xhr.status === 200) {
          console.log(xhr.responseText);
        } else {
          console.error(xhr.statusText);
        }
        post();
      }
    };
    xhr.onerror = function (e) {
      console.error(xhr.statusText);
    };
    xhr.send(null);   
}

function post() {
    var xhr = new XMLHttpRequest();
    xhr.open('POST', 'http://api.randomuser.me/', true);
    xhr.setRequestHeader('Content-type', 'application/x-www-form-urlencoded');
    xhr.setRequestHeader('Authn', 'abcdefghijklmnopqrstuvxyz');
    xhr.onload = function () {
        // do something to response
        console.log(this.responseText);
    };
    xhr.send('user=person&pwd=password&organization=place&requiredkey=key');
}

document.getElementById('mybutton').addEventListener('click', function() {
    get();
});

};

没有源头的 GET 请求:


带有原始 header 的 POST 请求:

Answer 1

我刚刚在 StackOverflow 上发现了一个类似的问题:
Chrome adding Origin header to same-origin request
其中一个答案指向规范:rfc6454#section-7.3:
https://www.rfc-editor.org/rfc/rfc6454#section-7.3
根据它，用户代理可以在任何 HTTP 请求中包含一个 Origin header 字段。
这意味着原始 header 不必与 CORS 相关。