Kako konfigurirate CORS v FastAPI?

Question

Accepted Answer

**CORS** (Cross-Origin Resource Sharing) je mehanizem varnosti brskalnika, ki nadzoruje, ali lahko spletna stran iz enega **origin** pokliče vaš API na drugem origin. FastAPI ga konfigurira z vgrajenim **`CORSMiddleware`**. S CORS se srečate vsakič, ko frontend na drugem domenu/portu pokliče vaš API.

## Problem, ki ga CORS rešuje

```text
A React app at http://localhost:3000 calling an API at http://localhost:8000 is
CROSS-ORIGIN (different port). The BROWSER blocks the response unless the API
sends CORS headers permitting that origin.
(origin = scheme + host + port)
```

## Konfiguracija CORSMiddleware

```python
from fastapi.middleware.cors import CORSMiddleware

app.add_middleware(
    CORSMiddleware,
    allow_origins=["https://app.example.com", "http://localhost:3000"],  # ALLOWLIST of origins
    allow_credentials=True,         # allow cookies/auth (requires specific origins, not "*")
    allow_methods=["*"],             # or ["GET", "POST", ...]
    allow_headers=["*"],
)
```

Middleware doda potrebne CORS glave odziva, ki brskalniku povedo, kateri origin, metode in glave so dovoljeni. Brskalnik te pravila uvaja.

## Varnost: omejena origins (ne uporabljajte "*")

```python
# ❌ allowing all origins — convenient but insecure for credentialed/private APIs
allow_origins=["*"]
# ✅ restrict to your known frontend origins (an allowlist)
allow_origins=["https://app.example.com"]
# NOTE: allow_credentials=True is INCOMPATIBLE with allow_origins=["*"]
```

V produkciji **omeji `allow_origins` na seznam dovoljencev** namesto `*`. Poleg tega omogočanje poverilnic (piškotki/avtentifikacija) zahteva specifične origins — nadomestni znak ni dovoljen s poverilnicami.

## Pogosta napačna predstava

```text
CORS is enforced by the BROWSER, not the server. It does NOT protect your API from
non-browser clients (curl, Postman, other servers) — those ignore CORS entirely.
CORS only governs what browser JavaScript from other origins may do.
```

## Zakaj je to pomembno

CORS je ena od najpogostejših pasti v spletnem razvoju — skoraj vsaka nastavitev frontend-v-API jo sreča (posebej pri lokalnem razvoju z različnimi porti in v produkciji s ločeno frontend domeno), zato je poznavanje konfiguracije s `CORSMiddleware` v FastAPI praktično, pogosto potrebno znanje.

Razumevanje *zakaj* obstaja (varnost istega izvora v brskalniku), kako se strežnik nanj opredeli preko glave odziva in kako ga konfigurirati (dovoljeni origins, metode, glave, poverilnice) je potrebno za povezavo frontendeov na FastAPI API brez, da bi bili zahtevki blokirani.

Enako pomembno je konfigurirati ga **varno** — omejiti `allow_origins` na specifičen seznam dovoljencev namesto permisivnega `*` (in razumeti, da so poverilnice nezdružljive z nadomestnim znakom) — in razumeti ključno napačno predstavo, da je **CORS mehanizem brskalnika, ne avtorizacija API** (ne ščiti pred brskalnikom drugačnimi odjemalci).

Znanje za pravilno in varno nastavljanje CORS je pomembno vsakodnevno znanje za kateri koli FastAPI API, ki ga poganja spletni frontend.