☰

Access-Control-Allow-Origin '*' no permitido/trabajando con Apache2

tag-icon • tag-icon apache-http-server javascript saas
Access-Control-Allow-Origin '*' no permitido/trabajando con Apache2

Estoy intentando conectarme a Hood.ie a través de Javascript:

hoodie = new Hoodie('http://example.com:6001');

Pero luego aparece un error:A wildcard '*' cannot be used in the 'Access-Control-Allow-Origin' header when the credentials flag is true. Origin 'xxx' is therefore not allowed access.

Con:

hoodie = new Hoodie('http://example.com');

Da 404...

Puedo conectarme a localhost: 6001y: 6002para público/admin, por lo que los puertos funcionan (también para ejemplo.com externo)

Pero en devconsole obtengo:

OPTIONS: http://example.com:6001/_api/_sessionNo se puede utilizar un comodín '*' en el 'Access-Control-Allow-Origin'encabezado cuando el indicador de credenciales es verdadero. Origen 'http://ejemplo.com' por lo tanto no se permite el acceso. `

He configurado Apache2:

 <VirtualHost *:80>
    DocumentRoot /var/www
    Header set Access-Control-Allow-Origin *
    Header add Access-Control-Allow-Headers "origin, content-type"
    Header always set Access-Control-Allow-Methods "POST, GET, PUT, DELETE, OPTIONS"
    Header set Access-Control-Allow-Credentials "false"
    <Directory />
            Options FollowSymLinks
            AllowOverride None
    </Directory>
    <Directory /var/www/>
            Options Indexes FollowSymLinks MultiViews
            AllowOverride None
            Order allow,deny
            allow from all
            Header set Access-Control-Allow-Origin *
            Header set Access-Control-Allow-Credentials "false"
    </Directory>

    ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/
    <Directory "/usr/lib/cgi-bin">
            AllowOverride None
            Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch
            Order allow,deny
            Allow from all
    </Directory>
     ErrorLog ${APACHE_LOG_DIR}/error.log

    # Possible values include: debug, info, notice, warn, error, crit,
    # alert, emerg.
    LogLevel warn

    CustomLog ${APACHE_LOG_DIR}/access.log combined
Alias /doc/ "/usr/share/doc/"
<Directory "/usr/share/doc/">
    Options Indexes MultiViews FollowSymLinks
    AllowOverride None
    Order deny,allow
    Deny from all
    Allow from 127.0.0.0/255.0.0.0 ::1/128
</Directory>

Y probé un extra:

<VirtualHost *:6001>
        Header set Access-Control-Allow-Origin *
        Header set Access-Control-Allow-Credentials "false"
</VirtualHost>

Intentó:

Header set Access-Control-Allow-Credentials false
Header set Access-Control-Allow-Credentials 'false'
Header set Access-Control-Allow-Credentials true 
...etc

Header set Access-Control-Allow-Origin "*"
Header set Access-Control-Allow-Origin "example.com"

Probé todas las variaciones posibles, pero sigue apareciendo el mismo error...

Pero me pregunto si tengo que configurarlo en un lugar diferente, porque el wwwdirectorio del :6001servicio está en algún lugar de mi carpeta de inicio, no en var/www, pero aún funciona, no tengo idea de cómo maneja eso Apache. o conoce la ubicación, o si Hood.ie inicia su propio servicio web.

Respuesta1

Creo que debería ser solo:

Header set Access-Control-Allow-Origin "*"

sin los otros indicadores Access-Control-* como se describe enenable-cors.org.

Respuesta2

me gustaríaadivinarque "Hoodie" está utilizando una XMLHttpRequest que envía cookies (withCredentials = "true") y, por lo tanto, su navegador rechaza la respuesta del servidor ya que tiene un comodín en el encabezado de origen permitido.

información relacionada