Acess-Control-Allow-Headers CORS-Fehler mit API nach Aktualisierung von Discourse

[pablogg (Pablo)]

Ich habe Discourse gestern aktualisiert und erhalte bei allen API-Rückrufen einen Fehler. Ich habe herausgefunden, dass das Problem in den Authentifizierungs-Headern liegt (1). Bei einigen Testaufrufen erhalte ich jedoch diesen Fehler:

Zugriff auf XMLHttpRequest an 'https://mydomain.com/notifications.json?username=admin' von der Herkunft 'https://mydomain.com' wurde durch die CORS-Richtlinie blockiert: Das Anforderungs-Header-Feld api-username ist in der Preflight-Antwort von Access-Control-Allow-Headers nicht erlaubt.

Ich verwende Vue und habe den api-key und api-username wie folgt zu den Headern hinzugefügt:

Vue.http
        .get(
             "https://discourse.mydomain.com/notifications.json?username="+input.username,
          {
            headers: {
             "Api-Key":"xxxxxxxxxxxxxxxxx",
             "Api-Username": "system",
              "content-type": "application/json",
              accept: "application/json"
            }
          }
        )

(1) Discourse REST API Documentation

[blake (Blake Erickson)]

Möglicherweise müssen Sie CORS in Ihren Site-Einstellungen einrichten.

[pablogg (Pablo)]

Ja, ich habe die Domain, von der aus ich die API aufrufe, in den Discourse-Einstellungen hinzugefügt, aber bei dem Fehler mit dem Feld api-username weiß ich nicht, wann ich ihn beheben muss.

[RGJ (Richard - Communiteq)]

@pablogg

Ich verwende Vue

"Api-Key":"xxxxxxxxxxxxxxxxx", 
"Api-Username": "system",

Du gibst deinen system-API-Schlüssel im Client-Code an?
Das bedeutet, dass jeder ihn aus deinem JavaScript-Code entnehmen und verwenden kann, um dein Forum komplett zu übernehmen.

Alle Ajax-HTTP-Anfragen an Discourse sollten eine bestehende Sitzung nutzen oder gar keine Sitzung benötigen.

[pablogg (Pablo)]

Nicht nur zum Testen, ich verwende den Benutzernamen:

Vue.http
  .get(
    "https://discourse.mydomain.com/notifications.json?username=" + input.username,
    {
      headers: {
        "Api-Key": "xxxxxxxxxxxxxxxxxxxxxx",
        "Api-Username": input.username
      }
    }
  )

Aber ich erhalte denselben Fehler bezüglich CORS und des Felds api-username.

[RGJ (Richard - Communiteq)]

Lass mich wiederholen, was ich gesagt habe:

@RGJ

Alle Ajax-HTTP-Anfragen an Discourse sollten eine bestehende Sitzung nutzen.

Das bedeutet: Keine Authentifizierungsheader. Überhaupt keine.

[blake (Blake Erickson)]

Du solltest diese API-Anmeldedaten tatsächlich nicht für CORS-Anfragen verwenden, weshalb dieses Header-Feld nicht zulässig ist.

CORS error accessing API from javascript application

Oh, so you are trying to make this request from a client-side javascript application? That is not permitted for numerous reasons. For example, if you include an admin API key in the source code of your javascript app, any user could gain full admin access to your forum. Here is a previous topic on the subject.

Wir erlauben jedoch die user-api-Header in CORS:

Request header field User-Api-Key is not allowed by Access-Control-Allow-Headers

I’m trying to post comments to my Discourse instance from another web application using user api keys. I managed to get the user key following the method described in your original topic and this other useful discussion. After getting the key, when I send it along with my requests as a value of the User-Api-Key header, I get the Request header field User-Api-Key is not allowed by Access-Control-Allow-Headers error. As I asked in my PR, I’m not sure if it’s enough to add the headers in the file…

[pablogg (Pablo)]

Ich habe die Spezifikation für Benutzer-API-Schlüssel gelesen …

In meinem Fall habe ich SSO mit einer Frontend-App in JavaScript. Könnte ich die API nutzen, ohne für jeden Benutzer die Autorisierungs-UI verwenden zu müssen? Ich würde gerne eine Möglichkeit haben, die api-username zu verwenden … ist das möglich?

Mit freundlichen Grüßen

[federico_lezcano]

Könntest du das lösen?
Vielen Dank!

[pablogg (Pablo)]

Am Ende bin ich zur vorherigen Version von Discourse zurückgekehrt, damit ich nicht alle API-Integrationen anpassen musste.