तुम FastAPI मध्ये CORS कसे कॉन्फिगर करता?

Question

Accepted Answer

**CORS** (Cross-Origin Resource Sharing) हा एक ब्राउজर सुरक्षा यंत्रणा आहे जो नियंत्रित करते की एका **origin** वरील वेब पृष्ठ भिन्न origin वरील तुमचे API ला कॉल करू शकतो की नाही. FastAPI हे बिल्ट-इन **`CORSMiddleware`** सह कॉन्फिगर करते. जेव्हा भिन्न डोमेन/पोर्टचा फ्रंटएंड तुमचे API ला कॉल करते तेव्हा तुम्हाला CORS चा सामना होतो.

## CORS हे समस्या सोडवते

```text
A React app at http://localhost:3000 calling an API at http://localhost:8000 is
CROSS-ORIGIN (different port). The BROWSER blocks the response unless the API
sends CORS headers permitting that origin.
(origin = scheme + host + port)
```

## CORSMiddleware कॉन्फिगरेशन

```python
from fastapi.middleware.cors import CORSMiddleware

app.add_middleware(
    CORSMiddleware,
    allow_origins=["https://app.example.com", "http://localhost:3000"],  # ALLOWLIST of origins
    allow_credentials=True,         # allow cookies/auth (requires specific origins, not "*")
    allow_methods=["*"],             # or ["GET", "POST", ...]
    allow_headers=["*"],
)
```

मिडलवेअर आवश्यक CORS प्रतिक्रिया हेडर जोडते, ब्राउজरला सांगते कि कोण से origins, methods, आणि headers अनुमत आहेत. ब्राउजर हे नियम लागू करते.

## सुरक्षा: origins प्रतिबंधित करा ("*" वापरू नका)

```python
# ❌ allowing all origins — convenient but insecure for credentialed/private APIs
allow_origins=["*"]
# ✅ restrict to your known frontend origins (an allowlist)
allow_origins=["https://app.example.com"]
# NOTE: allow_credentials=True is INCOMPATIBLE with allow_origins=["*"]
```

उत्पादनमध्ये, `allow_origins` ला `*` ऐवजी **अनुमत सूचीमध्ये प्रतिबंधित करा**. अतिरिक्त म्हणून, credentails (cookies/auth) अनुमत करणे विशिष्ट origins आवश्यक करते — जोकर credentials सह अनुमत नाही.

## एक महत्वाचे गैरसमज

```text
CORS is enforced by the BROWSER, not the server. It does NOT protect your API from
non-browser clients (curl, Postman, other servers) — those ignore CORS entirely.
CORS only governs what browser JavaScript from other origins may do.
```

## हे महत्वाचे का आहे

CORS हा वेब विकास मधील सर्वात सामान्य समस्यांपैकी एक आहे — जवळजवळ प्रत्येक frontend-to-API सेटअप ला यांचा सामना होतो (विशेषत: स्थानिक विकास मध्ये भिन्न पोर्टसह, आणि उत्पादन मध्ये वेगळ्या फ्रंटएंड डोमेनसह), म्हणून FastAPI च्या `CORSMiddleware` सह कसे कॉन्फिगर करायचे हे जाणून घेणे व्यावहारिक, वारंवार आवश्यक ज्ञान आहे.

ते का अस्तित्वात आहे (ब्राउজर same-origin सुरक्षा), सर्व्हर प्रतिक्रिया हेडरद्वारे कसे सहमत होतो, आणि हे कसे कॉन्फिगर करायचे (अनुमत origins, methods, headers, credentials) हे समजणे आवश्यक आहे.

तसेच महत्वाचे आहे **सुरक्षितपणे** हे कॉन्फिगर करणे — `allow_origins` ला विशिष्ट अनुमत यादीमध्ये प्रतिबंधित करा (आणि समजा की credentials जोकर सह अनुकूल नाहीत) — आणि महत्वाचे गैरसमज समजा की **CORS हा ब्राउজर यंत्रणा आहे, API authorization नाही** (हे non-browser क्लायंटशी संरक्षण करत नाही).

CORS योग्यरित्या आणि सुरक्षितपणे सेट अप करणे हे कोणत्याही FastAPI API साठी महत्वाचे रोज ज्ञान आहे जो वेब फ्रंटएंडद्वारे वापरले जाते.