Kas yra CORS ir kaip jį valdyti Node?

Question

Accepted Answer

**CORS** (Cross-Origin Resource Sharing) yra naršyklės saugumo mechanizmas, kuris kontroliuoja, ar vieno **origin** žiniatinklio puslapis gali pateikti užklausas serverio kitu **origin**. Pagal numatytuosius nustatymus, naršyklės blokuoja iš dalies kilusias užklausas; serveris turi jas aiškiai leisti per atsakymo antraštinės eilutes.

## Same-origin politika ir problema

```text
Origin = scheme + host + port. These are DIFFERENT origins:
  https://app.example.com   →  https://api.example.com   (different host)
  http://localhost:3000     →  http://localhost:4000      (different port)

Browser blocks the cross-origin request UNLESS the server sends CORS headers allowing it.
```

Taigi React programa `localhost:3000` paskambinusi API į `localhost:4000` yra iš dalies kilusios savybės — naršyklė ją blokuoja, nebent API sutinka.

## Pagrindinės atsakymo antraštinės eilutės

```text
Access-Control-Allow-Origin: https://app.example.com   ← who is allowed
Access-Control-Allow-Methods: GET, POST, PUT, DELETE   ← allowed methods
Access-Control-Allow-Headers: Content-Type, Authorization
Access-Control-Allow-Credentials: true                 ← allow cookies/auth
```

Serveris kontroliuoja prieigą siunčiant šias antraštines eilutes. Naršyklė jas nuskaito ir nusprendžia, ar leisti puslapi matyti atsakymą.

## CORS tvarkymas Express

```js
import cors from "cors";

// ❌ allow everything — convenient but insecure for credentialed/private APIs
app.use(cors());

// ✅ restrict to specific trusted origins
app.use(cors({
  origin: ["https://app.example.com", "http://localhost:3000"], // allowlist
  methods: ["GET", "POST", "PUT", "DELETE"],
  credentials: true, // allow cookies — REQUIRES a specific origin (not "*")
}));
```

`cors` tarpinė programinė įranga nustato antraštines eilutes jums. Gamyboje **apribokite `origin` leidžiamų šaltinių sąrašu** o ne `*` — ir atminkite, kad leisti kredencialams (`credentials: true`) nesuderinamas su `*` pakaitu.

## Išankstinio atidarinėjimo užklausos

```text
For "non-simple" requests (PUT/DELETE, custom headers, JSON), the browser first
sends an OPTIONS "preflight" request to check permissions. The cors middleware
handles responding to it automatically.
```

## Bendra klaidinga nuomonė

```text
CORS is enforced by the BROWSER, not the server. It does NOT protect your API
from non-browser clients (curl, Postman, other servers) — those ignore CORS.
It only governs what browser JavaScript on other origins can do.
```

## Kodėl tai svarbu

CORS yra viena iš dažniausių žiniatinklio plėtojimo kliūčių — beveik kiekvienas front-end ir API sąsaja su juo susiduria (ypač vietiniame plėtojime skirtingais prievadais).

Supratimas *kodėl* ji egzistuoja (naršyklės same-origin saugumas), kaip serveris sutinka per antraštines eilutes, kaip jį saugiai sukonfigūruoti (leistinų šaltinių sąrašas, atidus kredencialų tvarkymas) ir svarbus faktas, kad tai *naršyklės* mechanizmas (ne API autentifikacija) yra esminis norint tinkamai ir saugiai sujungti front-end su Node API be blokavimo ar per didelio serverio atverimo.