Cómo enviar encabezados CORS con Ideario si el usuario no está autorizado (respuesta 401)

Question

Estoy trabajando en una aplicación, donde el servidor y el cliente que consume API residen en dominios diferentes, por lo que me gustaría usar CORS. Para hacerlo, tengo que establecer cabeceras HTTP correspondientes en la respuesta del servidor:

def cors_set_access_control_headers 
    headers['Access-Control-Allow-Origin'] = 'http://localhost' 
    headers['Access-Control-Allow-Methods'] = 'POST, GET, OPTIONS' 
    headers['Access-Control-Allow-Headers'] = '*, X-Requested-With, X-Prototype-Version, X-CSRF-Token, Content-Type' 
    headers['Access-Control-Max-Age'] = "1728000" 
end 

Este método se utiliza como before_filter en ApplicationController.

Para algunos recursos, el usuario debe estar autenticado y autorizado. Las solicitudes se realizan a través de XHR/Ajax. Por lo tanto, si el usuario no está autenticado, Devise enviará una respuesta 401 al cliente, en lugar de redirigir a una página de inicio de sesión. Pero el filtro para establecer los encabezados CORS no se usa para esa respuesta. Por lo tanto, la respuesta 401 no se envía al cliente. Quiero capturar y usar la respuesta 401 en el cliente.

Actualmente estoy usando una solución al no utilizar los métodos de autenticación Idear, pero un fragmento de autenticación personalizado:

def authenticate_cors_user 
    if request.xhr? && !user_signed_in? 
    error = { :error => "You must be logged in." } 
    render params[:format].to_sym => error, :status => 401 
    end 
end 

Esto se establece como before_filter en ApplicationController, también. De esta forma, el filtro para configurar encabezados CORS se activa y todo funciona bien.

Preferiría usar el comportamiento predeterminado de Devise, pero los encabezados CORS tendrían que establecerse en la respuesta 401. ¿Como hacer esto? ¿Tengo que configurar warden para eso?

¿Cómo podrían los encabezados CORS establecerse para la respuesta 401 generada por Devise en lugar de crear mi propia respuesta?

Answer 1

he usado con éxito el bastidor-cors joya https://github.com/cyu/rack-cors y delineó mi experiencia en my blog.

cuenta es el final: Especificar el fin de middleware por lo cors controlador está delante de guardia:

config.middleware.insert_before Warden::Manager, Rack::Cors 

Answer 2

En general, no nos han gustado los encabezados CORS. Preferimos usar HAProxy para redirigir.

Con HAProxy puede configurar todas las solicitudes que lleguen a website.com/api/ para que sean redirigidas internamente a su máquina de rieles.

frontend main *:80 
    acl api  path_beg -i /api 
    acl app  path_beg -i /app 
backend app_backend 
    reqrep ^([^\ ]*)\ /app/(.*) \1\ /\2 
    balance roundrobin 
    server app_files smartphoneapp.localhost:8000 
backend api_backend 
    reqrep ^([^\ ]*)\ /api/(.*) \1\ /\2 
    balance roundrobin 
    server app_api localhost:3000