Kiểm tra CORS Headers - Phát hiện lỗi cấu hình nhanh chóng

Kiểm tra CORS là công cụ giúp bạn xác minh cấu hình Cross-Origin Resource Sharing (CORS) của website một cách nhanh chóng và chính xác. Dưới đây là các bước sử dụng:

• Nhập URL website: Điền địa chỉ web của trang bạn muốn kiểm tra vào ô input
• Chọn phương thức HTTP: Lựa chọn phương thức request (GET, POST, PUT, DELETE, OPTIONS)
• Thêm Origin (tuỳ chọn): Nhập origin cụ thể để kiểm tra quyền truy cập từ domain đó
• Nhấn nút Kiểm tra: Bấm để gửi request và phân tích CORS headers
• Xem kết quả: Công cụ sẽ hiển thị các CORS headers được trả về và giải thích chi tiết
• Phân tích cấu hình: Kiểm tra xem cấu hình có an toàn và đúng yêu cầu hay không

Công cụ này rất hữu ích trong nhiều tình huống phát triển và bảo mật web. Dưới đây là những trường hợp bạn nên sử dụng:

• Debug lỗi CORS: Khi gặp lỗi "Access to XMLHttpRequest blocked by CORS policy" trên trình duyệt
• Kiểm tra API security: Đảm bảo API của bạn chỉ cho phép các origin được phép truy cập
• Xác minh cấu hình server: Kiểm tra xem server có gửi đúng CORS headers không
• Testing cross-domain requests: Khi phát triển ứng dụng gọi API từ domain khác
• Kiểm tra bảo mật: Phát hiện cấu hình CORS quá lỏng lẻo có thể gây rủi ro bảo mật
• Tích hợp dịch vụ bên thứ ba: Xác nhận các dịch vụ ngoài có thể truy cập API của bạn

CORS (Cross-Origin Resource Sharing) là một cơ chế bảo mật được triển khai bởi các trình duyệt web để kiểm soát quyền truy cập tài nguyên giữa các origin khác nhau. Dưới đây là những khía cạnh kỹ thuật quan trọng:

CORS Headers chính

• Access-Control-Allow-Origin: Chỉ định những origin nào được phép truy cập tài nguyên (ví dụ: https://example.vn hoặc *)
• Access-Control-Allow-Methods: Liệt kê các phương thức HTTP được cho phép (GET, POST, PUT, DELETE, OPTIONS)
• Access-Control-Allow-Headers: Xác định những headers nào được phép trong request (Content-Type, Authorization, v.v.)
• Access-Control-Max-Age: Thời gian (tính bằng giây) mà trình duyệt có thể cache kết quả preflight request
• Access-Control-Allow-Credentials: Cho phép gửi cookies và credentials trong cross-origin requests khi được set thành true

Preflight Request

Khi một request gọi API từ origin khác với một số điều kiện nhất định, trình duyệt sẽ tự động gửi một OPTIONS request (preflight) trước request thực tế để kiểm tra quyền. Công cụ này giúp bạn kiểm tra phản hồi preflight request.