वाइल्डकार्ड

Question

के साथ एक्सेस-कंट्रोल-अनुमति-उत्पत्ति प्रदान करना मैं एक पृष्ठ बना रहा हूं जो एक निश्चित स्ट्रिंग के साथ AJAX अनुरोध का जवाब देता है जब एक और निश्चित स्ट्रिंग जीईटी चर के रूप में प्रदान की जाती है। आदेश "एक ही मूल 'की नीति के साथ समस्याओं से बचने के लिए, मैं ने पाया है कि मैं पेज के शीर्ष पर पीएचपी की इस पंक्ति में शामिल कर सकते हैं:

header('Access-Control-Allow-Origin: *'); 

वहाँ, कोई संवेदनशील डेटा जो भी पारित किया जा रहा है यह वास्तव में खोजशब्दों है पारित कर दिया कई अलग-अलग डोमेन से पीछे और आगे, (यह एक एसईओ संबंधित आवेदन)। इसके कारण, सैकड़ों विभिन्न डोमेन इसका उपयोग करेंगे, इसलिए यदि संभव हो तो मैं प्रत्येक को निर्दिष्ट करने से बचना चाहता हूं। क्या इस लाइन का उपयोग करने के लिए कोई जोखिम है? यदि ऐसा है, तो वो क्या हैं?

इसके अलावा, यदि यह पृष्ठ किसी HTTPS URL के अंतर्गत स्थित था, तो यह अभी भी पहुंच योग्य है?

कोई सलाह, सुझाव या चिंताओं का स्वागत है। धन्यवाद!

Answer 1

यदि पहुंच वास्तव में सार्वजनिक है, तो मैं कहूंगा कि यह एक अच्छा समाधान है। हालांकि, अगर आप अपनी साइट तक पहुंच सीमित करना चाहते हैं, तो आप शायद स्पष्ट रूप से अनुमत प्रत्येक डोमेन मूल सूची को सूचीबद्ध करना चाहते हैं।

चूंकि आप कहते हैं कि आपकी प्रतिक्रिया में कोई संवेदनशील जानकारी शामिल नहीं है, तो आपको शायद HTTPS पर अपनी सेवा होस्ट करने के बारे में चिंता करने की आवश्यकता नहीं है। एक कारण यह हो सकता है कि कोई क्लाइंट HTTPS पृष्ठ आपकी गैर-HTTPS सेवा तक पहुंचने का प्रयास करता है। उस स्थिति में, मुझे लगता है कि उन्हें आपकी AJAX सेवा कहने पर असुरक्षित जानकारी भेजी जाने/प्राप्त होने के बारे में चेतावनी मिलेगी, और यहां तक ​​कि केवल एक मूक असफल हो सकती है। यदि यह एक सामान्य मामला है, तो मैं कहूंगा कि एचटीटीपीएस सेवा की तलाश में है। सुनिश्चित करें कि आपका HTTPS प्रमाण पत्र ठीक से प्रमाणित है, क्योंकि यदि क्लाइंट का ब्राउज़र प्रमाणपत्र को सत्यापित नहीं कर सकता है तो AJAX अनुरोध चुपचाप विफल हो जाएगा (जब आप सीधे HTTPS पृष्ठ पर नेविगेट करते हैं तो संकेत देने के विपरीत)! साथ ही, मुझे नहीं पता कि यह आपके मामले में कैसे होगा, लेकिन जब भी मैंने HTTPS के साथ काम किया है, तो मुझे आमतौर पर चीजों को ठीक से काम करने के लिए चीजों को ट्विक करना पड़ता है।

लंबी कहानी छोटी, मैं HTTP से शुरू करूंगा और फिर HTTPS की आवश्यकता का मूल्यांकन करूंगा। सौभाग्य!