Vad är CORS?

CORS (resursdelning mellan olika ursprung) är ett sätt för en server att tala om för webbläsare vilka andra webbplatser som får läsa dess svar. Som standard kan JavaScript på https://app.example.com skicka en begäran till https://api.example.com, men webbläsaren döljer svaret om inte API:et svarar med en Access-Control-Allow-Origin-header som anger sidans ursprung eller *.

För allt utöver en enkel GET-begäran eller en enkel formulärbaserad POST-begäran, till exempel en PUT, en DELETE eller en JSON-kropp med en Authorization-header, frågar webbläsaren först om tillstånd genom en förhandsbegäran: en OPTIONS-begäran som anger metoden och de headers den vill använda. Den faktiska begäran skickas bara om serverns svar tillåter dem.

Verktygsbeskrivning

Ange URL:en som sidan anropar, sidans ursprung, metoden och eventuella anpassade headers för begäran. Tryck sedan på Kontrollera CORS. Vår server skickar samma begäranden som en webbläsare skulle göra och tillämpar webbläsarens regler på svaren:

  • Förhandsbegäran (OPTIONS) med Access-Control-Request-Method och Access-Control-Request-Headers
  • En GET med Origin-headern, för att läsa CORS-headers från ett normalt svar

Kontrollerna visar vilken regel som godkänns eller inte, och tabellen listar alla CORS-headers från båda svaren. Metoden du väljer skickas aldrig, så om du kontrollerar en DELETE-slutpunkt raderas ingenting.

Verktyget anger också om begäranden med cookies skulle fungera. De kräver det exakta ursprunget i stället för * och Access-Control-Allow-Credentials: true.

AI-assistenter som är anslutna till MCP-servern Rapid Tool Set kan köra samma kontroll med cors_checker.

Tips

  • CORS-fel kommer från webbläsaren, inte från servern. En begäran som fungerar i curl eller Postman kan ändå blockeras i webbläsaren, eftersom dessa verktyg inte tillämpar CORS.
  • Om svaret på förhandsbegäran är 401 eller 404 behandlar servern OPTIONS som en vanlig begäran. Tillåt förhandsbegäranden innan autentiseringskontrollerna görs.
  • När servern väljer vilket ursprung som tillåts för varje begäran bör den också skicka Vary: Origin, annars kan ett CDN visa en webbplats svar för en annan.