0

Estou desenvolvendo uma api para uma plataforma de educação, e dai criei as minhas rotas privadas e públicas. As publicas são para criação e validação de token, para ai usar ele para acessar as rotas privadas, porém o Cors, por algum motivo, está bloqueando as requisições nas rotas privadas, não dando block nas rotas, mas sim na requisição que o server faz. Queria saber o que poderia ser isso, aqui vai o code com arquivo de rotas:

const express =require('express')
const routes = express.Router()
const {save,get,getById} = require('../api/user')
const {saveCategory,removeCategory,getCategory,getCategoryById,getTree} =require('../api/category')
const {saveArticles,removeArticles,getArticles,getArticlesById,getArticlesByCategory} =require('../api/articles')
const {signin,validateToken} = require('../api/utils/auth')
const {authenticate} =require('./passport')

routes.post('/signup',save)
routes.post('/signin',signin)
routes.post('/validateToken',validateToken)

routes.route('/users')
        .all(authenticate)
        .post(save)
        .get(get)

routes.route('/users/:id')
        .all(authenticate)
        .get(getById)
        .put(save)

routes.route('/categories')
        .all(authenticate)
        .get(getCategory)
        .post(saveCategory)
   
        // Rota tree deve vir antes de categories/id     

routes.route('/categories/tree')
        .all(authenticate)
        .get(getTree)

routes.route('/categories/:id')
        .all(authenticate)
        .get(getCategoryById)
        .put(saveCategory)
        .delete(removeCategory)


routes.route('/articles')
        .all(authenticate)
        .get(getArticles)
        .post(saveArticles)

routes.route('/articles/:id')
        .all(authenticate)
        .get(getArticlesById)
        .put(saveArticles)
        .delete(removeArticles)        
        
routes.route('/categories/:id/articles')
        .all(authenticate)
        .get(getArticlesByCategory)






module.exports =routes

E esse daqui é aonde eu chamo o cors:

const express =require('express')
const app = express()
const bodyParser =require('body-parser')
const consign = require('consign')
const db = require('./config/db')
const routes = require('./config/routes')
const cors =require('cors')



//app.use(cors)
//app.db=db
app.use(bodyParser.json())
app.use(routes)

O método que da block, e chama o service de autenticação é o .All()

Dai se você tirar o metódo All(), as rotas voltam ao normal.

4

1 Resposta 1

1

O cabeçalho Access-Control-Allow-Origin, definido pelo middleware cors não configurado do express tem o valor *, que significa, basicamente "qualquer origem é válida", o que costuma ser suficiente para resolver a maior parte dos problemas simples de origem cruzada.

No entanto, para acessos em origem cruzada que requerem autenticação, quando * é enviado nesse cabeçalho, o navegador simplesmente bloqueia o envio de cookies e de vários cabeçalhos, entre eles o Authorization, que você deve estar usando justamente para fazer a autorização dos seus usuários com um token JWT...

Para contornar esse problema, no lugar de enviar um wildcard (*), você deve enviar ao usuário a origem da requisição em pré-voo dele. Por sorte, o middleware cors já resolve esse problema de maneira bem simples.

app.use(cors({
  origin: true
});

Assim, quando você fizer uma requisição ao servidor a partir de um navegador, o navegador vai

  • Enviar uma requisição do tipo OPTIONS dizendo a sua origem (o site que está fazendo o pedido, vamos chamar de https://origem.com).
  • Receber uma resposta do servidor dizendo "As origens válidas são 'https://origem.com'"
  • Tendo entendido que a origem em que o usuário está é válida para o envio de requisições em origem cruzada, enviar a verdadeira requisição para a API com a devida autorização correspondente.

Referência:

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .