CORS टेस्टर

Postman और curl browsers नहीं हैं, इसलिए वे same-origin policy को पूरी तरह ignore करते हैं — वे request भेजते हैं और response पढ़ते हैं चाहे कौन से headers return हों। एक browser सख़्त है: जब एक origin पर JavaScript एक अलग scheme, domain, या port को call करती है, तो यह आपके code को response तभी पढ़ने देता है जब server सही Access-Control-Allow-Origin header return करता है। अगर वह header missing है, तो request अभी भी server तक पहुँचती है और डेटा return करती है, लेकिन browser response को आपके script से hide कर देता है और CORS error log करता है। इसीलिए एक endpoint Postman में स्वस्थ दिख सकता है फिर भी console में fail होता है। यह टूल server द्वारा return किए गए actual CORS headers inspect करता है, ताकि आप confirm कर सकें कि problem server-side configuration है न कि आपके fetch code में। अपना endpoint पेस्ट करें ताकि आप सटीक रूप से देख सकें कि कौन से headers मौजूद हैं।

एक preflight एक automatic OPTIONS request है जो browser real request से पहले भेजता है, जो server से पूछती है कि क्या actual call allowed है। यह "non-simple" requests के लिए होती है: PUT, DELETE, या PATCH जैसे methods, custom request headers, या application/json जैसे content types। Browser Access-Control-Request-Method और Access-Control-Request-Headers include करता है, और server को matching Access-Control-Allow-Methods और Access-Control-Allow-Headers values से जवाब देना चाहिए, वरना real request कभी fire नहीं होती। Standard headers वाले simple GET और POST requests इस step को skip करते हैं। चूँकि preflights ज़्यादातर fetch code में invisible होते हैं, एक failing OPTIONS handshake CORS errors का एक आम और confusing cause है। यह tester आपको request को OPTIONS के रूप में भेजने और server द्वारा report किए गए allowed methods और headers inspect करने देता है, ताकि आप एक blocked console message से guess करने के बजाय preflight contract को सीधे verify कर सकें।

CORS specification credentialed requests को wildcard origin के साथ combine करने से मना करती है, और हर browser इसे enforce करता है। जब आप cross-origin cookies या authorization headers भेजते हैं, तो server को Access-Control-Allow-Origin में एक विशिष्ट origin echo back करना चाहिए — कभी catch-all asterisk नहीं। अगर एक server Access-Control-Allow-Credentials: true और Access-Control-Allow-Origin wildcard set दोनों के साथ respond करता है, तो browser response को outright reject करता है और आपका request fail हो जाता है, भले ही headers permissive दिखें। Fix यह है कि wildcard के बजाय exact requesting origin reflect करें, फिर credentials header true पर रखें। यह टूल उस exact dangerous combination को अपने CORS analysis में एक error के रूप में flag करता है, ताकि आप इसे एक authenticated front-end break होने से पहले catch कर सकें। अपना credentialed endpoint इसमें चलाएँ ताकि confirm कर सकें कि origin विशिष्ट है न कि wildcarded।

एक wildcard origin internet पर किसी भी वेबसाइट को आपके API में cross-origin requests बनाने और response पढ़ने की अनुमति देता है, जो genuinely public डेटा जैसे open datasets, public read-only APIs, या static JSON के लिए बिल्कुल ठीक है। यह तब risky हो जाता है जब endpoint कुछ sensitive return करता है या एक user के cookies के साथ reachable है, क्योंकि एक malicious साइट फिर एक visitor की behalf पर इसे call कर सकती है। एक नियम के रूप में, Access-Control-Allow-Origin को उन विशिष्ट domains तक सीमित करें जिन्हें legitimately access चाहिए, न कि सबके लिए खोल दें, और wildcard को कभी credentials के साथ जोड़ें नहीं। यह tester एक wildcard origin को warning और एक विशिष्ट domain को good label करता है, ताकि आप एक नज़र में देख सकें कि एक endpoint कितना exposed है। अपना URL यहाँ test करें ताकि जाँच सकें कि इसकी origin policy जो डेटा यह serve करता है उसकी sensitivity से match करती है या नहीं।

Access-Control-Max-Age browser को बताता है कि वह कितने seconds तक एक preflight OPTIONS request का result cache कर सकता है। जब तक वह cache valid है, browser extra round trip skip करता है और real request सीधे भेजता है, जो उन apps को noticeably speed करता है जो एक ही endpoint पर कई non-simple requests fire करते हैं। इसके बिना, browser हर call पर re-preflight कर सकता है, जो latency add करता है। Values browser द्वारा cap होते हैं — Chrome एक ज़्यादा number के बावजूद cache को couple of hours तक limit करता है — इसलिए एक enormous value set करना उस ceiling से आगे help नहीं करता। एक missing Max-Age का मतलब बस कोई preflight caching नहीं है। यह टूल header पढ़ता है और raw seconds को अपने analysis में minutes में translate करता है, ताकि आप जल्दी से जज कर सकें कि preflights कितने aggressively cache होते हैं। अपना endpoint test करें ताकि आप देख सकें कि यह एक useful Max-Age set करता है या नहीं।