CORS
es una herramienta de la especificación HTTP
la cual nos permite por medio de un encabezado seteado desde el servidor en cada respuesta, el permiso para acceder a recursos de otro dominio; a esto último se le conoce como dominio cruzado, que es simplemente la acción de acceder a recursos en un dominio distinto en donde se generó el documento. La política de seguridad que maneja esto se conoce como Same Origin Policy o restricción de mismo origen.
La manera de especificar qué dominios tienen permiso de consumir recursos es mediante la cabecera Access-Control-Allow-Origin
, la cual acepta un dirección URI.
En nodejs, específicamente, en el archiconocido express, puedes especificar una white list de los sitios que deberían tener acceso al recurso:
const app = express();
app.use(cors({
origin: whitelist,
));
Donde whitelist
es un array con los sitios permitidos:
const whitelist = [
'https://domain1.com',
'https://domain2.org',
'http://insecuredomain.net',
// etc.
];
Si entra una petición de un dominio que no está en la lista blanca, será rechazada. Puedes también especificar una función para retornar una respuesta personalizada en caso el dominio no esté en lista blanca:
origin: function (origin, callback) {
if (whitelist.indexOf(origin) !== -1) {
callback(null, true);
} else {
callback(new Error('No tienes permiso para consumir este recurso'));
}
}