مشاركة الموارد عبر المناطق

في مجال الحوسبة، تعد مشاركة الموارد عبر المصادر ( CORS ) آلية لتجاوز سياسة المصدر نفسه بأمان ؛ أي أنها تسمح لصفحة الويب بالوصول إلى الموارد المقيدة من خادم ويب على اسم نطاق مختلف عن النطاق الذي قدم صفحة الويب.

يمكن لصفحة الويب تضمين الصور، وأوراق الأنماط ، والبرامج النصية ، والإطارات المضمنة ، ومقاطع الفيديو من مصادر مختلفة بحرية . وتُحظر بعض طلبات HTTP "عبر النطاقات" ، وخاصة طلبات Ajax ، افتراضيًا بموجب سياسة أمان المصدر نفسه. يُحدد CORS آليةً لتفاعل متصفح الويب والخادم لتحديد ما إذا كان من الآمن السماح بطلب من مصدر مختلف. ^{[ 1 ]} يُتيح هذا مزيدًا من الحرية والوظائف مقارنةً بطلبات المصدر نفسه، ولكنه أكثر أمانًا من السماح بجميع طلبات المصادر المختلفة.

تُدرج مواصفات CORS كجزء من معيار Fetch Living Standard التابع لمجموعة عمل WHATWG . ^{[ 2 ]} وتصف هذه المواصفات كيفية تطبيق CORS حاليًا في المتصفحات. ^{[ 3 ]} وقد نُشرت مواصفات سابقة كتوصية من W3C . ^{[ 4 ]}

بالنسبة لطلبات HTTP المُرسلة من جافا سكريبت والتي لا يمكن إرسالها باستخدام وسم <form> يشير إلى نطاق آخر أو يحتوي على رؤوس غير مُدرجة في القائمة الآمنة، يُلزم المعيار المتصفحات بإجراء "فحص مسبق" للطلب، وذلك باستطلاع الطرق المدعومة من الخادم باستخدام طريقة طلب HTTP OPTIONS، ثم، عند "موافقة" الخادم، إرسال الطلب الفعلي باستخدام طريقة طلب HTTP الفعلية. كما يمكن للخوادم إخطار العملاء بما إذا كان ينبغي إرسال "بيانات الاعتماد" (بما في ذلك ملفات تعريف الارتباط وبيانات مصادقة HTTP) مع الطلبات. ^{[ 5 ]}

لنفترض أن مستخدمًا زار الموقع http://www.example.com وحاولت الصفحة إرسال طلب من موقع آخر لجلب البيانات من الموقع http://service.example.com . سيحاول متصفح متوافق مع CORS إرسال طلب من موقع آخر إلى service.example.com كما يلي.

1. يرسل المتصفح طلب GET مع Originرأس HTTP إضافي إلى service.example.com يحتوي على النطاق الذي قدم الصفحة الأصلية:

   المصدر: http://www.example.com

2. يقوم الخادم الموجود على service.example.com بإرسال أحد هذه الاستجابات الثلاث:
   • يُسمح بالبيانات المطلوبة مع Access-Control-Allow-Originتضمين ترويسة (ACAO) في الاستجابة، مما يشير إلى أن الطلبات واردة من المصدر. على سبيل المثال، في هذه الحالة، يجب أن يكون كالتالي:

     Access-Control-Allow-Origin: http://www.example.com

   • البيانات المطلوبة بالإضافة إلى Access-Control-Allow-Originرأس (ACAO) مع رمز بدل يشير إلى السماح بالطلبات من جميع النطاقات:

     Access-Control-Allow-Origin: *

   • صفحة خطأ إذا لم يسمح الخادم بطلب من مصدر مختلف ^{[ 6 ]}

تُعدّ سياسة الوصول من نفس المصدر باستخدام الأحرف البديلة مناسبة عندما يكون الهدف من صفحة أو استجابة واجهة برمجة التطبيقات (API) هو إتاحة الوصول إليها لأي كود على أي موقع. ومن الأمثلة على ذلك استخدام خط ويب مجاني متاح على خدمة استضافة عامة مثل Google Fonts .

تتميز قيمة "*" بأنها لا تسمح بتضمين بيانات الاعتماد في الطلبات، مما يعني أنها لا تسمح بإرسال مصادقة HTTP أو شهادات SSL من جانب العميل أو ملفات تعريف الارتباط في طلب النطاقات المتعددة. ^{[ 7 ]}

لاحظ أنه في بنية CORS، يتم تعيين رأس Access-Control-Allow-Origin بواسطة خدمة الويب الخارجية ( service.example.com )، وليس بواسطة خادم تطبيق الويب الأصلي ( www.example.com ). هنا، تستخدم service.example.com بروتوكول CORS للسماح للمتصفح بتفويض www.example.com لإرسال طلبات إلى service.example.com .

إذا حدد موقع ما العنوان "Access-Control-Allow-Credentials:true"، فقد تتمكن مواقع الطرف الثالث من تنفيذ إجراءات مميزة واسترداد معلومات حساسة.

عند تنفيذ أنواع معينة من طلبات Ajax عبر النطاقات، تُرسل المتصفحات الحديثة التي تدعم CORS طلبًا إضافيًا "مسبقًا" للتحقق من امتلاكها صلاحية تنفيذ الإجراء. ويتم التحقق من الطلبات عبر النطاقات بهذه الطريقة لأنها قد تؤثر على بيانات المستخدم.

خيارات / المضيف: service.example.com المصدر: http://www.example.com طريقة طلب التحكم في الوصول: PUT 

إذا كان موقع service.example.com مستعدًا لقبول الإجراء، فقد يستجيب بالعناوين التالية:

Access-Control-Allow-Origin: http://www.example.com Access-Control-Allow-Methods: PUT 

سيقوم المتصفح بعد ذلك بإرسال الطلب الفعلي. إذا كان موقع service.example.com لا يقبل الطلبات من مواقع أخرى من هذا المصدر، فسيرد برسالة خطأ على طلب OPTIONS ولن يقوم المتصفح بإرسال الطلب الفعلي.

رؤوس HTTP المتعلقة بـ CORS هي:

يدعم جميع المتصفحات التي تعتمد على محركات التخطيط التالية تقنية CORS:

• المتصفحات المستندة إلى Blink و Chromium ( Chrome 28+، ^{[ 8 ] [ 9 ]} Opera 15+، ^{[ 8 ]} Amazon Silk ، و Android 's 4.4+ WebView و Qt's WebEngine)
• Gecko 1.9.1 (Firefox 3.5، ^{[ 10 ]} SeaMonkey 2.0 ^{[ 11 ]} ) وما فوق.
• يدعم MSHTML/Trident 6.0 (Internet Explorer 10) هذه الميزة بشكل أصلي. ^{[ 12 ]} بينما يوفر MSHTML/Trident 4.0 و 5.0 (Internet Explorer 8 و 9) دعمًا جزئيًا عبر كائن XDomainRequest. ^{[ 13 ]}
• تُطبّق المتصفحات المستندة إلى Presto (Opera) تقنية CORS بدءًا من Opera 12.00 ^{[ 14 ]} و Opera Mobile 12، ولكن ليس Opera Mini . ^{[ 15 ]}
• WebKit (الإصدار الأولي غير مؤكد، Safari 4 وما فوق، ^{[ 16 ]} Google Chrome 3 وما فوق، وربما إصدارات أقدم). ^{[ 17 ]}
• جميع إصدارات مايكروسوفت إيدج . ^{[ 18 ]}

اقترح مات أوشري وبراد بورتر ومايكل بوديل من شركة Tellme Networks دعم الوصول من مصادر متعددة في مارس 2004 لإدراجه في VoiceXML 2.1 ^{[ 19 ]،} وذلك للسماح لمتصفحات VoiceXML بإرسال طلبات بيانات آمنة من مصادر متعددة. وُصفت الآلية بأنها عامة وليست خاصة بـ VoiceXML، فتم فصلها لاحقًا في ملاحظة تنفيذية ^{[ 20 ]} . بدأ فريق عمل تطبيقات الويب التابع لاتحاد شبكة الويب العالمية (W3C)، بمشاركة كبرى شركات تصنيع المتصفحات، في صياغة الملاحظة وتحويلها إلى مسودة عمل معتمدة من W3C، تمهيدًا لاعتمادها كتوصية رسمية من W3C .

في مايو 2006، قُدِّمَت المسودة الأولى لمشروع W3C. ^{[ 21 ]} وفي مارس 2009، أُعيد تسمية المسودة إلى "مشاركة الموارد عبر المصادر" ^{[ 22 ]} ، وفي يناير 2014، قُبِلَت كتوصية من W3C. ^{[ 23 ]}

كانت الميزة الرئيسية لـ JSONP هي قدرتها على العمل على المتصفحات القديمة التي سبقت دعم CORS (مثل Opera Mini و Internet Explorer 9 والإصدارات الأقدم). يدعم معظم متصفحات الويب الحديثة CORS الآن، ^{[ 24 ]} ويمكن استخدامه كبديل حديث لنمط JSONP . وتشمل فوائد CORS ما يلي:

• بينما يدعم JSONP GETطريقة الطلب فقط، فإن CORS يدعم أيضًا أنواعًا أخرى من طلبات HTTP.
• تتيح CORS لمبرمج الويب استخدام XMLHttpRequest العادي ، والذي يدعم معالجة الأخطاء بشكل أفضل من JSONP.
• على الرغم من أن بروتوكول JSONP قد يتسبب في مشاكل البرمجة النصية عبر المواقع (XSS) عند اختراق الموقع الخارجي، فإن بروتوكول CORS يسمح للمواقع الإلكترونية بتحليل الاستجابات يدويًا لزيادة الأمان. ^{[ 1 ]}

• سياسة أمان المحتوى
• المراسلة بين المستندات
• تسريبات عبر المواقع

• معيار Fetch Living (المواصفات الحالية لـ CORS)
• ضبط CORS على Apache مع رؤوس الاستجابة الصحيحة للسماح بمرور جميع البيانات
• معلومات تفصيلية حول كيفية تفعيل دعم CORS في مختلف خوادم الويب
• يشرح موقع HTML5 Rocks آلية عمل CORS بالتفصيل
• أداة فحص أخطاء تكوين CORS عبر الإنترنت (مؤرشفة بتاريخ 10 أغسطس 2020 على موقع Wayback Machine)