আপনি কিভাবে FastAPI-তে CORS কনফিগার করবেন?

Question

Accepted Answer

**CORS** (Cross-Origin Resource Sharing) হল একটি ব্রাউজার নিরাপত্তা ব্যবস্থা যা নিয়ন্ত্রণ করে যে একটি **উৎস** থেকে একটি ওয়েব পৃষ্ঠা ভিন্ন উৎসে আপনার API কল করতে পারে কিনা। FastAPI এটি অন্তর্নিহিত **`CORSMiddleware`** দিয়ে কনফিগার করে। যখনই একটি ভিন্ন ডোমেইন/পোর্টে একটি ফ্রন্টএন্ড আপনার API কল করে তখন আপনি CORS এর সম্মুখীন হবেন।

## CORS যে সমস্যার সমাধান করে

```text
A React app at http://localhost:3000 calling an API at http://localhost:8000 is
CROSS-ORIGIN (different port). The BROWSER blocks the response unless the API
sends CORS headers permitting that origin.
(origin = scheme + host + port)
```

## CORSMiddleware কনফিগার করা

```python
from fastapi.middleware.cors import CORSMiddleware

app.add_middleware(
    CORSMiddleware,
    allow_origins=["https://app.example.com", "http://localhost:3000"],  # ALLOWLIST of origins
    allow_credentials=True,         # allow cookies/auth (requires specific origins, not "*")
    allow_methods=["*"],             # or ["GET", "POST", ...]
    allow_headers=["*"],
)
```

মিডলওয়্যার প্রয়োজনীয় CORS প্রতিক্রিয়া হেডার যোগ করে, ব্রাউজারকে জানায় কোন উৎস, পদ্ধতি এবং হেডার অনুমোদিত। ব্রাউজার এই নিয়মগুলি প্রয়োগ করে।

## নিরাপত্তা: উৎসগুলি সীমাবদ্ধ করুন ("*" ব্যবহার করবেন না)

```python
# ❌ allowing all origins — convenient but insecure for credentialed/private APIs
allow_origins=["*"]
# ✅ restrict to your known frontend origins (an allowlist)
allow_origins=["https://app.example.com"]
# NOTE: allow_credentials=True is INCOMPATIBLE with allow_origins=["*"]
```

উৎপাদনের জন্য, **`allow_origins` কে `*` এর পরিবর্তে একটি অনুমোদন তালিকায় সীমাবদ্ধ করুন**। এছাড়াও, শংসাপত্র (কুকি/প্রমাণীকরণ) অনুমোদন নির্দিষ্ট উৎস প্রয়োজন — ওয়াইল্ডকার্ড শংসাপত্রের সাথে অনুমোদিত নয়।

## একটি মূল ভুল ধারণা

```text
CORS is enforced by the BROWSER, not the server. It does NOT protect your API from
non-browser clients (curl, Postman, other servers) — those ignore CORS entirely.
CORS only governs what browser JavaScript from other origins may do.
```

## কেন এটি গুরুত্বপূর্ণ

CORS ওয়েব উন্নয়নের সবচেয়ে সাধারণ বাধাগুলির মধ্যে একটি — প্রায় প্রতিটি ফ্রন্টএন্ড-থেকে-API সেটআপ এটির মুখোমুখি হয় (বিশেষ করে বিভিন্ন পোর্টসহ স্থানীয় উন্নয়নে, এবং আলাদা ফ্রন্টএন্ড ডোমেইনসহ উৎপাদনে), তাই FastAPI-এর `CORSMiddleware` এর সাথে কনফিগার করার উপায় জানা ব্যবহারিক, ঘন ঘন প্রয়োজনীয় জ্ঞান।

*কেন* এটি বিদ্যমান (ব্রাউজার একই-উৎস নিরাপত্তা) বোঝা, সার্ভার প্রতিক্রিয়া হেডারের মাধ্যমে কিভাবে অংশগ্রহণ করে, এবং কিভাবে কনফিগার করতে হয় (অনুমোদিত উৎস, পদ্ধতি, হেডার, শংসাপত্র) ফ্রন্টএন্ডগুলিকে FastAPI APIs এর সাথে সংযুক্ত করতে প্রয়োজন যাতে অনুরোধগুলি অবরুদ্ধ না হয়।

সমানভাবে গুরুত্বপূর্ণ এটি **নিরাপদভাবে** কনফিগার করা — `allow_origins` কে অনুমোদন তালিকায় সীমাবদ্ধ করুন অনুমতিশীল `*` এর পরিবর্তে (এবং বুঝুন যে শংসাপত্র ওয়াইল্ডকার্ডের সাথে সামঞ্জস্যপূর্ণ নয়) — এবং গুরুত্বপূর্ণ ভুল ধারণা আঁকড়ে ধরা যে **CORS একটি ব্রাউজার ব্যবস্থা, API অনুমোদন নয়** (এটি অ-ব্রাউজার ক্লায়েন্টদের থেকে রক্ষা করে না)।

জানা কিভাবে সঠিকভাবে এবং নিরাপদে CORS সেট আপ করতে হয় যেকোনো FastAPI API এর জন্য যা একটি ওয়েব ফ্রন্টএন্ড দ্বারা ব্যবহৃত হয় তার জন্য গুরুত্বপূর্ণ দৈনন্দিন জ্ঞান।