CORS и прокси: почему серверный запрос работает, а браузерный нет

Основная идея

CORS является браузерным механизмом чтения cross-origin ответа. Серверный клиент может получить те же байты без CORS-проверки, но это не даёт странице разрешение читать ответ и не отменяет authentication или authorization API.

Тему «CORS и прокси: почему серверный запрос работает, а браузерный нет» лучше начинать с модели угроз: что именно защищаем, от кого и на каком участке пути. Логин ограничивает доступ к прокси, TLS защищает содержимое соединения с сайтом, а белый список ограничивает источник подключения. Эти меры дополняют друг друга, но ни одна из них не делает опасную автоматизацию безопасной сама по себе.

Что подтверждает первичный источник

Разделяем сетевую доступность, preflight и чтение ответа JavaScript, не превращая proxy в обход авторизации API.

Первичный источник «WHATWG Fetch, MDN CORS, MDN Access-Control-Allow-Origin, MDN Access-Control-Allow-Credentials, MDN Access-Control-Request-Method» задаёт техническую основу, но не описывает конфигурацию каждого клиента и поставщика. Читайте нормативную формулировку рядом с датой и версией документа, затем подтверждайте поведение в своей программе. Если интерфейс обещает больше, чем источник, помечайте это как свойство продукта, которое нужно проверить отдельно.

Практический стенд

Origin A загружает страницу, origin B обслуживает API. Сначала B не отдаёт CORS-поля, затем разрешает только A, потом включает credentials с точным origin. Добавьте неожиданный origin C и подтвердите отказ. Server-side контроль должен работать при тех же сетевых условиях, показывая, что ошибка находится в браузерной политике.

Проверка шаг за шагом

На двух своих origins создайте простой GET, JSON POST с preflight и credentialed route. Сравните браузерный fetch, DevTools Network и server-side request через тот же proxy. Варьируйте Origin и разрешающие поля по одному.

Проводите опыт на тестовом аккаунте и домене, где проверка разрешена. Создайте отдельные реквизиты с минимальными правами, задайте короткий срок их жизни и заранее определите способ отзыва. Затем проверьте нормальный вход, отказ с неверным секретом и отказ из неразрешённой сети. Три результата должны различаться и не раскрывать пароль в тексте ошибки.

Просмотрите не только интерфейс, но и журналы приложения, историю команд, HAR-файлы и сообщения поддержки. Строка подключения может попасть в URL, аргументы процесса, историю терминала или снимок экрана. После проверки смените временный пароль и удалите тестовые материалы, которые содержат чувствительные заголовки или cookies.

• Создать два origin
• Проверить простой GET
• Проверить preflight POST
• Отклонить третий origin

Какие данные сохранить

Сохраняйте page origin, request mode/credentials, preflight method/headers/status, ACAO/ACAC/Vary, final status и console error без cookies и bearer token.

Безопасный отчёт хранит идентификатор проверки, время, результат и применённую политику. В нём не должно быть пароля, cookie, токена, полного URL с секретом или открытого файла состояния браузера. Если нужно подтвердить ротацию реквизитов, записывают событие и последние четыре условных символа, а не прежнее и новое значение целиком.

Сразу задайте имена колонок отчёта и формат времени. Результат без контекста быстро превращается в догадку: неизвестно, какой адрес использовался, был ли кэш и что изменилось. Сохраняйте не только успех, но и контролируемые отказы. Они доказывают, что проверка действительно различает состояния, а не всегда рисует зелёный индикатор.

Как читать результат

Успех OPTIONS ещё не означает успех основного запроса, а 200 в Network не гарантирует доступность response JavaScript. Wildcard несовместим с credentialed sharing; отражать любой Origin без allowlist опасно.

CORS не защищает сервер от прямых запросов и не заменяет CSRF, authentication или permission checks. Browser extensions и native apps имеют другую модель.

Один успешный запуск подтверждает только конкретную комбинацию клиента, маршрута и времени. Для устойчивого вывода повторите опыт, изменяя одну переменную, и укажите границы. Если наблюдение расходится с документацией, сначала исключите кэш, версию программы и промежуточный сервер, а затем сформулируйте воспроизводимый пример для поддержки.

Разбор рабочего решения

Для «CORS и прокси: почему серверный запрос работает, а браузерный нет» составьте реестр доступа ещё до настройки клиента. Для каждого подключения запишите владельца, назначение, срок, разрешённую сеть и способ отзыва. Общая строка для нескольких сотрудников лишает аудит смысла: после утечки невозможно определить источник и выборочно закрыть доступ. Раздельные реквизиты также позволяют сначала выпустить замену, проверить её на одном безопасном запросе и только затем отозвать старый секрет без простоя процесса.

Негативная проверка обязательна. После успешного входа попробуйте старые реквизиты, неразрешённый IP и заведомо неверное имя назначения. Система должна отказать на ожидаемом этапе и не раскрыть секрет в сообщении. Затем просмотрите браузерную историю, журнал запуска, CI-вывод и вложения обращения в поддержку. Если полная строка подключения попала хотя бы в одно из этих мест, считайте её раскрытой и смените.

Периодическая ревизия не требует сложной платформы. Раз в квартал выгрузите только метаданные активных подключений, сопоставьте их с владельцами и задачами, удалите бесхозные записи и назначьте ближайшую дату проверки. Отдельно контролируйте временные разрешения и широкие сети. Результатом ревизии должна быть не галочка, а список сохранённых доступов, отозванных доступов и исключений с владельцем и сроком устранения.

Типичные ошибки

Опасные упрощения повторяются: отключение проверки сертификата, общий пароль на всю команду, слишком широкий CIDR и отправка прокси-URL в чат. Такие решения ускоряют первый запуск, но лишают систему границ доверия. Правильное исправление — восстановить проверку, выпустить отдельный секрет, сузить доступ и проверить отзыв старых данных.

Остановитесь, если растёт доля ошибок, источник вернул ограничение, результат требует обхода защиты или в журнал попали секреты. Сначала сохраните обезличенную диагностику и устраните причину. Смена IP или увеличение параллельности в такой точке скрывает проблему и может создать лишнюю нагрузку вместо полезных данных.

Критерии внедрения и сопровождение

Перед внедрением сформулируйте критерий решения: какое наблюдение разрешает продолжить работу, какое требует ручной проверки, а какое немедленно останавливает процесс. Укажите допустимый процент ошибок, максимальное время ожидания и владельца исключения. Без этих границ команда начинает объяснять одинаковый результат по-разному, а временный сбой незаметно превращается в постоянную настройку.

Через неделю после запуска проверьте, совпадают ли фактическая нагрузка, расходы и качество с тестом. Затем назначьте регулярный малый контроль и повторную проверку после обновления клиента, прокси-сервиса или сетевой схемы. Устаревшую инструкцию архивируйте вместе с датой и причиной замены, чтобы сотрудники не использовали две конфликтующие конфигурации.

Рабочий регламент

Превратите удачный опыт в короткий регламент: кто запускает, где лежит безопасная конфигурация, какие лимиты действуют и когда работа должна остановиться. Проверка должна завершаться конечным статусом, а не бесконечной попыткой. После обновления браузера, библиотеки или сетевой схемы запускайте малый контроль до основной очереди.

• Определены данные и нарушитель
• Использован отдельный тестовый доступ
• TLS-проверка не отключена
• Логи просмотрены на утечки
• Есть процедура отзыва
• Проверен отказ вне разрешённых условий