CORS 预检请求有哪些安全优势

客户端

当我们谈论跨域资源共享（CORS）时，我们常常会提到预检请求（Preflight Requests）。预检请求是CORS机制的一部分，它为客户端和服务器之间的通信带来了一些安全优势。在讨论这些优势之前，让我们先了解一下什么是CORS预检请求以及它是如何工作的。

理解CORS预检请求

CORS是一种用于在浏览器和服务器之间进行安全跨域数据传输的机制。在某些情况下，当使用XMLHttpRequest或Fetch API发送跨域请求时，浏览器会首先发起一个预检请求。预检请求是一个OPTIONS方法的HTTP请求，它在实际请求之前发送到服务器，用于检查服务器是否允许实际的跨域请求。预检请求包含一些头部信息，如Origin（来源）、Access-Control-Request-Method（请求方法）和Access-Control-Request-Headers（请求头部）等。

安全优势

预检请求提供了几个安全优势：

1. 防止恶意请求

预检请求允许服务器检查来自客户端的跨域请求是否是被允许的。服务器可以根据预检请求中的头部信息来验证请求的来源和允许的方法、头部等内容。这有助于防止恶意网站利用用户浏览器发送未经授权的请求。

2. 保护用户隐私

通过预检请求，服务器可以确定请求的来源，这有助于保护用户的隐私。服务器可以根据来源决定是否允许请求访问资源，从而防止未经授权的访问和数据泄露。

下面是一个简单的Node.JS服务器示例，演示如何处理CORS预检请求：

Javascript
const http = require('http');
const server = http.createServer((req, res) => {
  if (req.method === 'OPTIONS') {
    // 处理预检请求
    res.writeHead(200, {
      'Access-Control-Allow-Origin': 'http://example.com',
      'Access-Control-Allow-Methods': 'GET, POST, OPTIONS',
      'Access-Control-Allow-Headers': 'Content-Type, Authorization',
      'Access-Control-Max-Age': '86400', // 预检请求结果的缓存时间
    });
    res.end();
  } else if (req.method === 'GET') {
    // 处理实际请求
    res.writeHead(200, { 'Content-Type': 'text/plAIn' });
    res.end('Hello, CORS!');
  }
});
server.listen(3000, () => {
  console.log('Server running at http://localhost:3000/');
});

在这个例子中，当收到预检请求（OPTIONS方法）时，服务器返回了允许的跨域头部信息。实际请求（GET方法）则返回了简单的文本内容。这个服务器简单地展示了如何处理预检请求和实际的跨域请求。