CORS என்றால் என்ன மற்றும் Node இல் அதை எவ்வாறு கையாள்வது?

Question

Accepted Answer

**CORS** (Cross-Origin Resource Sharing) என்பது ஒரு உலாவி பாதுகாப்பு பொறிமுறை ஆகும், இது ஒரு **மூல** இலிருந்து வரும் வலைப்பக்கம் வேறு **மூல** இல் உள்ள சர்வரில் கோரிக்கைகளை செய்ய முடியுமா என்பதைக் கட்டுப்படுத்துகிறது. முன்னிருப்பாக, உலாவிகள் குறுக்கு-மூல கோரிக்கைகளை தடுக்கின்றன; சர்வர் மறுமொழி தலைப்புகளின் மூலம் அவற்றை வெளிப்படையாக அனுமதிக்க வேண்டும்.

## ஒரே மூல கொள்கை மற்றும் சிக்கல்

```text
Origin = scheme + host + port. These are DIFFERENT origins:
  https://app.example.com   →  https://api.example.com   (different host)
  http://localhost:3000     →  http://localhost:4000      (different port)

Browser blocks the cross-origin request UNLESS the server sends CORS headers allowing it.
```

So `localhost:3000` இல் உள்ள React பயன்பாடு `localhost:4000` இல் உள்ள API ஐ அழைப்பது குறுக்கு-மூல ஆகும் — சர்வர் இதை ஒப்புக்கொள்ளாவிட்டால் உலாவி அதை தடுக்கிறது.

## முக்கிய மறுமொழி தலைப்புகள்

```text
Access-Control-Allow-Origin: https://app.example.com   ← who is allowed
Access-Control-Allow-Methods: GET, POST, PUT, DELETE   ← allowed methods
Access-Control-Allow-Headers: Content-Type, Authorization
Access-Control-Allow-Credentials: true                 ← allow cookies/auth
```

சர்வர் இந்த தலைப்புகளை அனுப்பி அணுகலை கட்டுப்படுத்துகிறது. உலாவி அவற்றை படித்து பக்கம் மறுமொழியைப் பார்க்க அனுமதிக்க வேண்டுமா என்பதை முடிவு செய்கிறது.

## Express இல் CORS ஐ கையாள்வது

```js
import cors from "cors";

// ❌ allow everything — convenient but insecure for credentialed/private APIs
app.use(cors());

// ✅ restrict to specific trusted origins
app.use(cors({
  origin: ["https://app.example.com", "http://localhost:3000"], // allowlist
  methods: ["GET", "POST", "PUT", "DELETE"],
  credentials: true, // allow cookies — REQUIRES a specific origin (not "*")
}));
```

`cors` middleware உங்களுக்கான தலைப்புகளை அமைக்கிறது. உৎপাദனத்தில், **`origin` ஐ `*` க்குப் பதிலாக அனுமதிக்கப்பட்ட பட்டியலுக்கு வரம்பிடவும்** — மற்றும் அனுமதிக்கப்பட்ட கணக்குகளை அனுமதிப்பது (`credentials: true`) wildcard `*` உடன் பொருந்தாது என்பதைக் கவனிக்கவும்।

## Preflight கோரிக்கைகள்

```text
For "non-simple" requests (PUT/DELETE, custom headers, JSON), the browser first
sends an OPTIONS "preflight" request to check permissions. The cors middleware
handles responding to it automatically.
```

## பொதுவான தவறான புரிதல்

```text
CORS is enforced by the BROWSER, not the server. It does NOT protect your API
from non-browser clients (curl, Postman, other servers) — those ignore CORS.
It only governs what browser JavaScript on other origins can do.
```

## இது ஏன் முக்கியமாக இருக்கிறது

CORS வலை மேம்பாட்டில் மிகவும் பொதுவான தடைகளில் ஒன்றாகும் — கிட்டத்தட்ட ஒவ்வொரு முன்-முடிவுக்கு-API அமைப்பும் அதை சந்திக்கிறது (குறிப்பாக வெவ்வேறு போர்ட்களுடன் உள்ளூர் dev இல்).

*ஏன்* இது உள்ளது என்பதை புரிந்துகொள்வது (உலாவி same-origin பாதுகாப்பு), சர்வர் தலைப்புகளின் மூலம் எவ்வாறு ஒப்புக்கொள்கிறது, அதை பாதுகாப்பாக எவ்வாறு உள்ளமைக்கிறது (அனுமதிக்கப்பட்ட மூல பட்டியல், மெல்லிய கணக்கு கையாளுதல்), மற்றும் இது *உலாவி* பொறிமுறை (API அங்கீகாரம் அல்ல) என்பது முக்கியமான உண்மை முன்-முடிவுகளை Node APIs க்கு சரியாகவும் பாதுகாப்பாகவும் இணைப்பதற்கு தடுக்கப்படாமல் அல்லது சர்வரை அதிக அளவில் பிறப்பிக்காமல் அவசியமாக உள்ளது।