რა არის CORS და როგორ მას Node-ში?

Question

Accepted Answer

**CORS** (Cross-Origin Resource Sharing) არის ბრაუზერის უსაფრთხოების მექანიზმი, რომელიც აკონტროლებს აქვს თუ არა ერთი **origin**-ის ვებ-გვერდს უფლება სერვერზე მოთხოვნის გაკეთებისთვის სხვა **origin**-ზე. ნაგულისხმევად, ბრაუზერი უბლოკავს cross-origin მოთხოვნებს; სერვერმა ცალსახად უნდა დაშვას ისინი response headers-ის მეშვეობით.

## same-origin პოლიტიკა და პრობლემა

```text
Origin = scheme + host + port. These are DIFFERENT origins:
  https://app.example.com   →  https://api.example.com   (different host)
  http://localhost:3000     →  http://localhost:4000      (different port)

Browser blocks the cross-origin request UNLESS the server sends CORS headers allowing it.
```

ასე რომ, React აპლიკაცია `localhost:3000`-ზე API-ს დაძახება `localhost:4000`-ზე არის cross-origin — ბრაუზერი უბლოკავს მას, თუ API არ ეთანხმება.

## ძირითადი response headers

```text
Access-Control-Allow-Origin: https://app.example.com   ← who is allowed
Access-Control-Allow-Methods: GET, POST, PUT, DELETE   ← allowed methods
Access-Control-Allow-Headers: Content-Type, Authorization
Access-Control-Allow-Credentials: true                 ← allow cookies/auth
```

სერვერი აკონტროლებს წვდომას ამ headers-ის გაგზავნით. ბრაუზერი წაკითხავს მათ და გადაწყვეტს გვერდს ხელი მისცეს პასუხის დათვალიერებას თუ არა.

## CORS-ის დამუშავება Express-ში

```js
import cors from "cors";

// ❌ allow everything — convenient but insecure for credentialed/private APIs
app.use(cors());

// ✅ restrict to specific trusted origins
app.use(cors({
  origin: ["https://app.example.com", "http://localhost:3000"], // allowlist
  methods: ["GET", "POST", "PUT", "DELETE"],
  credentials: true, // allow cookies — REQUIRES a specific origin (not "*")
}));
```

`cors` middleware აწყობს headers-ებს თქვენთვის. production-ისთვის, **შეზღუდეთ `origin` allowlist-თან** ვიდრე `*` — და გაითვალისწინეთ, რომ credentials-ის დაშვება (`credentials: true`) შეუთავსებელია wildcard `*`-თან.

## Preflight მოთხოვნები

```text
For "non-simple" requests (PUT/DELETE, custom headers, JSON), the browser first
sends an OPTIONS "preflight" request to check permissions. The cors middleware
handles responding to it automatically.
```

## საერთო ცდომილება

```text
CORS is enforced by the BROWSER, not the server. It does NOT protect your API
from non-browser clients (curl, Postman, other servers) — those ignore CORS.
It only governs what browser JavaScript on other origins can do.
```

## რატომ მნიშვნელოვანია

CORS არის ვებ-დეველოპმენტის ერთ-ერთი ყველაზე გავრცელებული ხელი — თითქმის ყველა front-end-ის-API კავშირი მას აწყდება (განსაკუთრებით ლოკალურ dev-ში სხვადსხვა პორტებით).

გაგება *რატომ* არსებობს ის (ბრაუზერის same-origin უსაფრთხოება), თუ როგორ ეთანხმება სერვერი headers-ის მেშვეობით, როგორ გამართოთ იგი უსაფრთხოდ (allowlist origins, ზრდილობიანი credential მართვა), და მნიშვნელოვანი ფაქტი რომ ეს *ბრაუზერის* მექანიზმია (არა API ავტორიზაცია) აუცილებელია front-ends-ს ყველაფერი მაშინ უსაფრთხოდ დაკავშირების პროცესში Node APIs-თან ბლოკირების გარეშე ან სერვერის ზედმეტი ზღვრის გარეშე.