¿Por qué no hay más proveedores de OEmbed habilitados para compartir recursos entre dominios en sus puntos finales?

Question

Parece que la mayoría, si no todos, los puntos finales del proveedor oEmbed no tienen CORS activado. Esto significa que tengo que usar JSONP (para aquellos que lo soportan) o pasar por un servidor proxy solo para usar oEmbed.

Existe una política corporativa contra el uso de JSONP por parte de proveedores externos, pero aún quiero aprovechar oEmbed de una manera puramente del lado del cliente (para ciertos proveedores en los que confiamos). Entiendo las implicaciones de seguridad de un CONSUMIDOR de oEmbed y por qué podrían no desear permitir el marcado de terceros directamente en sus páginas, pero ¿por qué los proveedores lo restringirían? Podría fácilmente tener vulnerabilidades XSS si construyera un servidor proxy y no filtrara los resultados.

Answer 1

sólo una suposición:

Se puede estar relacionado con las solicitudes de verificación previa. La especificación CORS (http://www.w3.org/TR/cors/#resource-preflight-requests) indica que el cliente debe enviar una solicitud de OPCIÓN adicional en muchos casos (básicamente, para cualquier cosa que no sea un GET o POST muy básico) . Significa que, en el lado del servidor, duplicarás tus solicitudes entrantes simplemente proporcionando CORS y tal vez esa carga adicional sería inaceptable.