Las reglas de CORS (o también conocidas como de intercambio de recursos de origen cruzado) impiden que puedas acceder a los recursos de una página externa si ésta no autoriza a tu sitio web a hacerlo.
Por defecto todas las consultas dentro de un mismo origen (misma URL o Same Origin Policy) se presuponen seguras y no hacen uso de CORS para su validación, sólo las consultas a orígenes (o URLs) externas.
Para ello el navegador realiza una consulta previa (preflight request) mediante el método HTTP OPTIONS
.
Precisamente esa prueba previa es la que ha fallado y por eso nos genera el error:
Cross-Origin Request Blocked: The Same Origin Policy disallows reading the remote resource at https://www.dominiowebservice.com/miws/.
(Reason: CORS preflight channel did not succeed).
O, lo que es lo mismo, que la comprobación previa de que tu API permite consultas desde el origen ha fallado y, por lo tanto, se presupone prohibido.
Una forma de implementar la respuesta a esa consulta previa podría ser agregando el siguiente código al comienzo de tu script PHP:
<?php
/* Permitimos a cualquier origen acceder a este API de manera remota */
header('Access-Control-Allow-Origin: *');
/* Permitimos la cabecera HTTP X-Requested-With (por ejemplo) */
header('Access-Control-Allow-Headers: X-Requested-With');
/* No debe ejecutarse el resto del script mediante la consulta OPTIONS previa */
if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {
die();
}
OJO: Este código permite el acceso a tu API desde cualquier URL.
Si deseas restringir el acceso al API a un reducido número de URLs entonces deberías hacer algo como lo siguiente:
<?php
/* Listado de URLs (orígenes) que tienen acceso al API (sin / al final) */
$autorizados = [
'http://www.origen1.com',
'https://www.origen2.es',
];
/* Comprobamos que el origen esté en el listado de orígenes permitidos */
if (
isset($_SERVER['HTTP_ORIGIN'])
&& in_array($_SERVER['HTTP_ORIGIN'], $autorizados) === true
) {
/* Indicamos que este API permite métodos GET, POST y OPTIONS (por ejemplo) */
header('Access-Control-Allow-Methods: GET, POST, OPTIONS');
header('Access-Control-Allow-Origin: ' . $_SERVER['HTTP_ORIGIN']);
}
/* No debe ejecutarse el resto del script mediante la consulta OPTIONS previa */
if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {
die();
}
Existen multitud de cabeceras HTTP que nos permiten gestionar el intercambio de datos:
- Access-Control-Allow-Origin
- Access-Control-Allow-Credentials
- Access-Control-Allow-Headers
- Access-Control-Allow-Methods
- Access-Control-Expose-Headers
- Access-Control-Max-Age
- Access-Control-Request-Headers
- Access-Control-Request-Method
- Origin
Entre ellas una importante, en cuanto a rendimiento, es Access-Control-Max-Age
. Nos permite permitir al navegador guardar el resultado de la consulta previa en caché durante un tiempo determinado:
<?php
/* Evitamos que el navegador compruebe de nuevo CORS durante una hora */
header('Access-Control-Max-Age: 3600');
https://www.dominiowebservice.com/miws/
es PHP u otro lenguaje de programación?