我正在使用firebase云功能,第一次看到cors然后将origin设置为true..但是这样任何人都可以访问我的功能,所以我寻找了一种只允许特定域访问我的云功能的方法,我得到了来自cors github页面的代码并尝试过,但在等待和等待后我意外关闭了连接。
这是我的函数 index.js --
const functions = require('firebase-functions');
const cors = require('cors');
var whitelist = ['http://example1.com', 'http://example2.com']
var corsOptionsDelegate = function (req, callback) {
var corsOptions;
if (whitelist.indexOf(req.header('Origin')) !== -1) {
corsOptions = { origin: true } // reflect (enable) the requested origin in the CORS response
}else{
corsOptions = { origin: false } // disable CORS for this request
}
callback(null, corsOptions) // callback expects two parameters: error and options
}
exports.api = functions.https.onRequest((req, res) => {
cors(req, res, () => {
var d = new Date();
var n = d.getHours();
if (n > 8 && n < 17) {
res.status(200).send("Get started")
} else {
res.status(200).send("Closed")
}
})
});
最佳答案
通过 Firebase Cloud Functions 上的 HTTP 触发函数,cors 中间件 origin
参数将是 未定义 , 请求 header Origin 值也是如此:
var whitelist = ['https://example1.com']
var corsOptions = {
origin: function (origin, callback) {
console.log(origin) // undefined
if (whitelist.indexOf(origin) !== -1) {
callback(null, true)
} else {
callback(new Error('Not allowed by CORS'))
}
}
}
app.get('/products/:id', cors(corsOptions), function (req, res, next) {
console.log(req.header('Origin')) // undefined
res.json({msg: 'This is CORS-enabled for a whitelisted domain.'})
})
除非你设置
Origin
向函数发出请求时自己 header 。例如:await http.get(
'https://example1.com/yourfunction',
headers: {
"Origin": "https://example2.com",
},
);
问题是任何人都可以写上面的请求(Origin header可以伪造),如this post suggests验证访问权限的一种更简单的方法是发送类似 Firebase Auth 在您登录时生成的 token 之类的内容(或者您可以向发送方提供他们需要发送的 key ):
await http.get(
'https://example1.com/yourfunction',
headers: {
"Authorization": "Bearer your_api_token_here",
},
);
然后你会 verify that it's legit在 Cloud Function 中(而不是检查潜在的虚假来源)。
关于javascript - 如何允许特定域访问云功能,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/44699856/