HapiJS - 我需要做什么才能让 CORS 在这里工作？

Question

我试图了解我在这个使用 hapiJS 发送 CORS 标头的基本示例中做错了什么，允许我从另一个应用程序进行 XHR 调用。

我想像这样提供一个标头，我知道我需要以I outlined in the spec from the W3C 接受 XHR 调用

Access-Control-Allow-Origin: ["*"]

当我检查the HapiJS docs on CORS support 时，我知道我需要向路由对象添加一个 CORS 键，如下所示：

const Hapi = require('@hapi/hapi');

const init = async () => {


  const server = Hapi.server({
          port: 3000,
          host: 'localhost',
  });


  server.route({
          method: 'GET',
          path:'/',
          handler: (request, h) => {

              console.log('CORS request.info:');
              console.log(request.info.cors);
              return 'Hello world! Shis should be sending a CORS header.';
          },
          options: {
            cors: true
          }

  });

  await server.start();
  console.log('Server running on %s', server.info.uri);
})
init()

问题是，当我传入 cors:true 时，我看不到 Access Control Allow Origin 标头，也看不到像这样更充实的对象：

{
origin: ['*'],
maxAge: 86400,
headers: ['Accept', 'Authorization', 'Content-Type', 'If-None-Match'],
exposedHeaders: ['WWW-Authenticate', 'Server-Authorization'],
credentials: true
}

为了让 CORS 支持在这里工作，我缺少什么？

当我阅读规范时，您不需要在每个请求中传递“Origin”标头 - 这是您根据要公开的资源做出的决定

本规范定义了如何授权在用户代理中执行的来自外部来源的应用程序实例访问 HTTP 响应中的资源表示。某些类型的资源不应尝试指定特定的授权来源，而是拒绝或允许所有来源。

1. 对其他来源的应用程序无用的资源（例如登录页面）不应返回 Access-Control-Allow-Origin 标头。资源仍然必须保护自己免受 CSRF 攻击，例如要求在请求的明确提供的内容中包含不可猜测的令牌。此类资源的安全属性不受符合本规范的用户代理的影响。

2. 可公开访问且无需访问控制检查的资源始终可以安全地返回值为“*”的 Access-Control-Allow-Origin 标头。

3. 如果没有敏感的 cmets，因为可以使用HTML 脚本元素。如果需要，这些资源可以实现如上所述的访问控制和 CSRF 保护。

我的用例 - 让任何人都可以访问端点，而不需要任何 authz/authn 似乎满足案例 2。

我还需要做什么？

Answer 1

好的，我的解决方案是在服务器上添加 cors 信息，而不是路由。

所以，我必须像这样添加到服务器声明中，然后将其从路由中删除：

const server = Hapi.server({
    debug: { request: ["*"], log: ["*"] },
    port: 3000,
    host: "localhost",
    routes: { cors: { origin: "ignore" } }
    // this also worked
    routes: { cors: { origin: ["*"] } }
})

我仍然不确定如何在每条路线的基础上进行这项工作，这是我的首选设置，但暂时可行。