Настройка CORS в Django: Разрешение доступа к ресурсам с разных доменов (Access-Control-Allow-Origin)

30.04.2025
16870

5 мин
67

Что такое CORS (Cross-Origin Resource Sharing)?

CORS, или Cross-Origin Resource Sharing, – это механизм безопасности браузера, который контролирует, может ли один домен запрашивать ресурсы с другого домена. В контексте веб-разработки это означает, что если ваш сайт (например, site-a.com) пытается получить данные с другого сайта (например, site-b.com), браузер применяет ограничения CORS, чтобы предотвратить потенциальные угрозы безопасности.

Проблема CORS в веб-разработке: ограничения междоменных запросов

Без CORS браузеры по умолчанию блокируют междоменные запросы, инициированные JavaScript. Это означает, что если ваш фронтенд (работающий на domain-frontend.com) пытается напрямую обратиться к API на другом домене (api-backend.com), браузер, скорее всего, заблокирует этот запрос. Это ограничение существует для защиты пользователей от вредоносных скриптов, которые могут пытаться получить доступ к конфиденциальной информации.

Почему CORS важен для безопасности веб-приложений?

CORS играет важную роль в безопасности веб-приложений, предотвращая атаки типа Cross-Site Scripting (XSS) и Cross-Site Request Forgery (CSRF). Ограничивая междоменные запросы, CORS помогает гарантировать, что только доверенные источники могут получать доступ к ресурсам вашего сервера. Представьте себе сценарий, когда злоумышленник размещает вредоносный скрипт на evil.com, который пытается отправить запрос к вашему банковскому API (bank.com). Без CORS браузер заблокирует этот запрос, защищая данные пользователя.

Обзор заголовка Access-Control-Allow-Origin

Access-Control-Allow-Origin – это HTTP-заголовок ответа, который указывает браузеру, какие домены имеют право на доступ к ресурсу. Когда сервер отвечает с этим заголовком, браузер проверяет, соответствует ли домен, с которого был отправлен запрос, значению, указанному в заголовке. Если соответствие найдено, браузер разрешает запрос; в противном случае он блокирует его. Значение заголовка может быть конкретным доменом (например, https://example.com), * (что означает разрешение доступа со всех доменов) или null (в некоторых специфических сценариях, связанных с файлами).

Настройка CORS в Django: основные методы

Установка и настройка django-cors-headers

Для упрощения настройки CORS в Django рекомендуется использовать пакет django-cors-headers. Он предоставляет middleware, которое автоматически добавляет необходимые заголовки CORS к ответам вашего Django-приложения. Установите его с помощью pip:

pip install django-cors-headers

Добавление ‘corsheaders’ в INSTALLED_APPS

Добавьте 'corsheaders' в список INSTALLED_APPS в вашем файле settings.py:

# settings.py

INSTALLED_APPS = [
    ...
    'corsheaders',
    ...
]

Настройка MIDDLEWARE: включение CorsMiddleware

Добавьте CorsMiddleware в список MIDDLEWARE перед любым middleware, которое может изменять заголовки ответов, например CommonMiddleware:

# settings.py

MIDDLEWARE = [
    'corsheaders.middleware.CorsMiddleware',
    'django.middleware.common.CommonMiddleware',
    ...
]

Основные настройки: CORSALLOWEDORIGINS, CORSALLOWALL_ORIGINS

Существует два основных способа управления разрешенными источниками:

CORS_ALLOWED_ORIGINS: Указывает список конкретных доменов, которым разрешен доступ.
CORS_ALLOW_ALL_ORIGINS: Разрешает доступ со всех доменов (используйте с осторожностью).

Конфигурирование CORSALLOWEDORIGINS: Разрешение доступа с определенных доменов

Указание списка разрешенных доменов

Наиболее безопасный и рекомендуемый способ настройки CORS – указать явный список доменов, которым разрешен доступ к вашим ресурсам. В settings.py установите CORS_ALLOWED_ORIGINS:

# settings.py

CORS_ALLOWED_ORIGINS = [
    'https://example.com',
    'https://www.example.com',
    'http://localhost:3000',  # Для разработки React/Vue/Angular приложений
]

Использование регулярных выражений для более гибкой настройки (CORSALLOWEDORIGIN_REGEXES)

В некоторых случаях вам может потребоваться более гибкая настройка, чем просто перечисление доменов. CORS_ALLOWED_ORIGIN_REGEXES позволяет использовать регулярные выражения для сопоставления доменов:

# settings.py

CORS_ALLOWED_ORIGIN_REGEXES = [
    r'^https://.*\.example\.com$', # Разрешает все поддомены example.com
]

Примеры конфигураций CORSALLOWEDORIGINS

Предположим, у вас есть API, к которому должны обращаться три разных фронтенд-приложения:

https://frontend-app-1.com
https://frontend-app-2.com
http://localhost:4200 (локальная разработка Angular)

Тогда ваша конфигурация будет выглядеть так:

# settings.py

CORS_ALLOWED_ORIGINS = [
    'https://frontend-app-1.com',
    'https://frontend-app-2.com',
    'http://localhost:4200',
]

Использование CORSALLOWALL_ORIGINS: Разрешение доступа со всех доменов (с осторожностью)

Когда следует использовать CORSALLOWALL_ORIGINS?

CORS_ALLOW_ALL_ORIGINS = True следует использовать только в том случае, если ваш API предназначен для публичного использования и не обрабатывает конфиденциальные данные, или в очень специфических сценариях, например, во время локальной разработки, когда неудобно постоянно обновлять список разрешенных доменов. Этот параметр разрешает доступ к вашим ресурсам с любого домена, что значительно упрощает настройку, но при этом создает потенциальные риски для безопасности.

Риски безопасности, связанные с CORSALLOWALL_ORIGINS

Разрешение доступа со всех доменов открывает дверь для потенциальных атак. Любой веб-сайт может отправлять запросы к вашему API, что может привести к нежелательным действиям, таким как злоупотребление ресурсами или получение доступа к информации (если API не требует аутентификации).

Альтернативные подходы для более безопасной настройки CORS

Вместо использования CORS_ALLOW_ALL_ORIGINS = True рассмотрите следующие альтернативы:

Использование CORS_ALLOWED_ORIGINS или CORS_ALLOWED_ORIGIN_REGEXES для указания конкретных разрешенных доменов.
Реализация аутентификации и авторизации для защиты ваших API.
Использование токенов доступа (например, JWT) для проверки подлинности запросов.

Настройка HTTP-методов и заголовков

CORSALLOWEDMETHODS: Разрешение определенных HTTP-методов (GET, POST, PUT, DELETE и др.)

По умолчанию django-cors-headers разрешает методы GET, POST и OPTIONS. Чтобы разрешить другие методы, такие как PUT, DELETE или PATCH, необходимо настроить CORS_ALLOWED_METHODS:

# settings.py

CORS_ALLOWED_METHODS = [
    'GET',
    'POST',
    'PUT',
    'PATCH',
    'DELETE',
    'OPTIONS'
]

CORSALLOWEDHEADERS: Разрешение пользовательских HTTP-заголовков

Если ваш клиент отправляет запросы с пользовательскими заголовками (например, X-Custom-Header), вы должны добавить их в CORS_ALLOWED_HEADERS:

# settings.py

CORS_ALLOWED_HEADERS = [
    'content-type',
    'authorization',
    'x-custom-header',
]

CORSEXPOSEHEADERS: Указание заголовков, которые клиент может читать

По умолчанию браузер не разрешает JavaScript-коду читать все заголовки ответа. Чтобы разрешить клиенту читать определенные заголовки, необходимо указать их в CORS_EXPOSE_HEADERS:

# settings.py

CORS_EXPOSE_HEADERS = [
    'Content-Length',
    'X-Custom-Response-Header',
]

Обработка предварительных запросов (Preflight Requests)

Что такое предварительные запросы OPTIONS?

Предварительные запросы (preflight requests) – это запросы, отправляемые браузером перед фактическим запросом, если запрос является «сложным» (например, использует метод, отличный от GET, HEAD или POST с Content-Type, отличным от application/x-www-form-urlencoded, multipart/form-data или text/plain). Эти запросы отправляются с методом OPTIONS и содержат информацию о фактическом запросе, который клиент собирается отправить. Сервер использует предварительный запрос, чтобы определить, следует ли разрешить фактический запрос.

Как django-cors-headers обрабатывает предварительные запросы

django-cors-headers автоматически обрабатывает предварительные запросы, добавляя необходимые заголовки (Access-Control-Allow-Origin, Access-Control-Allow-Methods, Access-Control-Allow-Headers) к ответу на предварительный запрос.

Настройка CORSPREFLIGHTMAX_AGE

CORS_PREFLIGHT_MAX_AGE определяет, как долго браузер может кэшировать ответ на предварительный запрос. Увеличение этого значения может уменьшить количество предварительных запросов, что улучшит производительность, но также может увеличить окно для потенциальных атак. Значение указывается в секундах:

# settings.py

CORS_PREFLIGHT_MAX_AGE = 86400  # Кэшировать на 24 часа

Решение распространенных проблем с CORS в Django

Ошибка ‘CORS Missing Allow Origin’

Эта ошибка указывает на то, что сервер не вернул заголовок Access-Control-Allow-Origin. Убедитесь, что:

django-cors-headers установлен и настроен правильно.
CorsMiddleware находится в списке MIDDLEWARE.
CORS_ALLOWED_ORIGINS или CORS_ALLOW_ALL_ORIGINS настроены правильно.
Сервер правильно обрабатывает предварительные запросы.

Проблемы с куки и CORS

Если вы хотите отправлять куки с междоменными запросами, необходимо установить CORS_ALLOW_CREDENTIALS = True в settings.py и добавить withCredentials: true к вашему запросу на стороне клиента. Важно отметить, что если вы используете CORS_ALLOW_ALL_ORIGINS = True, CORS_ALLOW_CREDENTIALS должен быть False, иначе браузер выдаст ошибку. Вместо CORS_ALLOW_ALL_ORIGINS = True следует использовать CORS_ALLOWED_ORIGINS с явным указанием доменов.

Отладка CORS-конфигурации

Для отладки CORS-конфигурации можно использовать инструменты разработчика в браузере (вкладка Network). Проверяйте заголовки запросов и ответов, чтобы убедиться, что сервер возвращает правильные заголовки CORS. Также можно использовать онлайн-инструменты для проверки CORS.

Примеры использования CORS в Django-проектах

Интеграция с API на React/Vue/Angular

Предположим, у вас есть Django REST API и React-приложение, работающее на http://localhost:3000. Чтобы разрешить React-приложению отправлять запросы к API, добавьте http://localhost:3000 в CORS_ALLOWED_ORIGINS.

Загрузка ресурсов с CDN

Если вы загружаете ресурсы (например, шрифты, изображения, JavaScript) с CDN, который находится на другом домене, вам может потребоваться настроить CORS на CDN, чтобы разрешить вашему сайту загружать эти ресурсы.

Альтернативные способы настройки CORS в Django

Использование middleware для ручной установки заголовков

Вместо использования django-cors-headers можно написать собственное middleware для установки заголовков CORS. Это может быть полезно, если вам нужна более тонкая настройка, чем предоставляет django-cors-headers.

# middleware.py

from django.utils.deprecation import MiddlewareMixin

class CORSMiddleware(MiddlewareMixin):
    def process_response(self, request, response):
        response['Access-Control-Allow-Origin'] = '*'
        return response

Затем добавьте этот middleware в MIDDLEWARE в settings.py.

Настройка CORS на уровне веб-сервера (Nginx, Apache)

CORS можно настроить не только в Django, но и на уровне веб-сервера (Nginx, Apache). Это может быть полезно, если вы хотите настроить CORS для статических файлов, которые не обслуживаются Django. Конфигурация зависит от используемого веб-сервера.

Заключение

Краткое содержание основных моментов

CORS – важный механизм безопасности, который контролирует междоменные запросы в веб-приложениях. django-cors-headers упрощает настройку CORS в Django. Рекомендуется использовать CORS_ALLOWED_ORIGINS или CORS_ALLOWED_ORIGIN_REGEXES для явного указания разрешенных доменов и избегать использования CORS_ALLOW_ALL_ORIGINS = True, если это возможно. Не забывайте настраивать HTTP-методы и заголовки в соответствии с потребностями вашего приложения.

Дополнительные ресурсы для изучения CORS и django-cors-headers

Документация django-cors-headers: https://pypi.org/project/django-cors-headers/
MDN Web Docs: https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS