columna vertebral, Node.js (express) y Access-Control-Allow-Origen

Question

Estoy desarrollando una aplicación en mi PC local. El frontend debería construirse con spinejs y el backend-api con node.js. columna vertebral se ejecuta en el puerto 9294 y Node.js se está ejecutando en el puerto 3000. en la columna vertebral que he añadido a mi modelo lo siguiente:

@url: "http:localhost:3000/posts" 

y en mi servidor expreso

app.get('/posts', function(req, res){ 
    console.log("giving ALL the posts"); 
    res.header("Access-Control-Allow-Origin", "*") 
    res.json(posts); 
}); 

Pero siempre estoy recibiendo el siguiente erro en cromo:

XMLHttpRequest cannot load http://localhost:3000/posts. Origin http://localhost:9294 is not allowed by Access-Control-Allow-Origin. 

¿Qué debo hacer que puedo acceder a mi api correctamente? Pensé que agregar el encabezado en las respuestas soluciona el problema.

Answer 1

app.get sólo responderá a las solicitudes GET. Si el navegador realiza una verificación previa con una solicitud OPTIONS, Express enviará un error porque no tiene ningún oyente para esas solicitudes. Trate de añadir este código, además de la suya y ver si funciona:

app.options('/posts', function(req, res){ 
    console.log("writing headers only"); 
    res.header("Access-Control-Allow-Origin", "*"); 
    res.end(''); 
}); 

También tenga en cuenta: si va a enviar las galletas con la solicitud (withcredentials=true), entonces la cabecera Access-Control-Allow-Origin no puede ser *, debe ser la exacta valor en la cabecera Origin que el navegador añade automáticamente a la petición ajax así:

res.header("Access-Control-Allow-Origin", req.headers.origin); 

Esto es por razones de seguridad - si está haciendo algo que requiere cookies, entonces es más probable que usted va a querer en realidad compruebe que el origin es un permitir sitio web ed para evitar CSRF attacks.

Answer 2

Este middleware permitirá CORS usando Express, la clave es detectar la solicitud de verificación previa OPTIONS y devolver una respuesta para evitar consultas de bases de datos duplicadas o 404. Vea el recurso: http://cuppster.com/2012/04/10/cors-middleware-for-node-js-and-express/

var methodOverride = require('method-override'); 
app.use(methodOverride()); 

// ## CORS middleware 
// see: http://stackoverflow.com/questions/7067966/how-to-allow-cors-in-express-nodejs 
var allowCrossDomain = function(req, res, next) { 
    res.header('Access-Control-Allow-Origin', '*'); 
    res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE'); 
    res.header('Access-Control-Allow-Headers', 'Content-Type, Authorization'); 

    // intercept OPTIONS method 
    if ('OPTIONS' == req.method) { 
     res.send(200); 
    } 
    else { 
     next(); 
    } 
}; 
app.use(allowCrossDomain);