CORS کیا ہے اور آپ اسے Node میں کیسے سنبھالتے ہیں؟

Question

Accepted Answer

**CORS** (Cross-Origin Resource Sharing) ایک براؤزر کی حفاظتی میکانزم ہے جو یہ کنٹرول کرتی ہے کہ ایک **origin** سے آنے والا ویب صفحہ دوسرے **origin** پر سرور کو درخواستیں کر سکتا ہے یا نہیں۔ ڈیفالٹ طور پر، براؤزر cross-origin درخواستوں کو روک دیتے ہیں؛ سرور کو انہیں جواب کی headers کے ذریعے واضح طور پر اجازت دینی ہوگی۔

## ایک جیسے origin کی پالیسی اور مسئلہ

```text
Origin = scheme + host + port. These are DIFFERENT origins:
  https://app.example.com   →  https://api.example.com   (different host)
  http://localhost:3000     →  http://localhost:4000      (different port)

Browser blocks the cross-origin request UNLESS the server sends CORS headers allowing it.
```

تو `localhost:3000` پر ایک React ایپ `localhost:4000` پر API کو کال کرنا cross-origin ہے — براؤزر اسے روک دیتا ہے جب تک API opt-in نہ کرے۔

## اہم جواب کی headers

```text
Access-Control-Allow-Origin: https://app.example.com   ← who is allowed
Access-Control-Allow-Methods: GET, POST, PUT, DELETE   ← allowed methods
Access-Control-Allow-Headers: Content-Type, Authorization
Access-Control-Allow-Credentials: true                 ← allow cookies/auth
```

سرور ان headers کو بھیج کر رسائی کو کنٹرول کرتا ہے۔ براؤزر انہیں پڑھتا ہے اور فیصلہ کرتا ہے کہ صفحے کو جواب دیکھنے کی اجازت دی جائے یا نہیں۔

## Express میں CORS کو سنبھالنا

```js
import cors from "cors";

// ❌ allow everything — convenient but insecure for credentialed/private APIs
app.use(cors());

// ✅ restrict to specific trusted origins
app.use(cors({
  origin: ["https://app.example.com", "http://localhost:3000"], // allowlist
  methods: ["GET", "POST", "PUT", "DELETE"],
  credentials: true, // allow cookies — REQUIRES a specific origin (not "*")
}));
```

`cors` middleware آپ کے لیے headers سیٹ کرتا ہے۔ پروڈکشن میں، **`origin` کو `*` کی بجائے ایک allowlist تک محدود کریں** — اور نوٹ کریں کہ credentials کی اجازت (`credentials: true`) wildcard `*` کے ساتھ غیر مطابقت ہے۔

## Preflight درخواستیں

```text
For "non-simple" requests (PUT/DELETE, custom headers, JSON), the browser first
sends an OPTIONS "preflight" request to check permissions. The cors middleware
handles responding to it automatically.
```

## عام غلط فہمی

```text
CORS is enforced by the BROWSER, not the server. It does NOT protect your API
from non-browser clients (curl, Postman, other servers) — those ignore CORS.
It only governs what browser JavaScript on other origins can do.
```

## یہ کیوں اہم ہے

CORS ویب ڈویلپمنٹ میں سب سے عام رکاوٹوں میں سے ایک ہے — تقریباً ہر front-end-to-API سیٹ اس سے رو برو ہوتا ہے (خاص طور پر مختلف ports کے ساتھ مقامی dev میں)۔

*کیوں* یہ موجود ہے (براؤزر same-origin سیکیورٹی)، سرور headers کے ذریعے کیسے opt-in کرتا ہے، اسے محفوظ طریقے سے کیسے کنفیگر کریں (allowlist origins، احتیاط سے credentials کی ہینڈلنگ)، اور یہ اہم حقیقت کہ یہ *براؤزر* میکانزم ہے (API authorization نہیں) کو سمجھنا سامنے کے سروں کو Node APIs سے صحیح اور محفوظ طریقے سے جوڑنے کے لیے ضروری ہے بغیر اس کے بلاک ہوں یا سرور کو زیادہ expose کریں۔