Estou criando um aplicativo no Phonegap e consome uma API provida através do NodeJS. Para que isso aconteça, preciso que o NodeJS aceite o CORS.
Como eu habilito o CORS para que NodeJS aceite a requisição?
Habilitar CORS é uma simples questão de adicionar o header Access-Control-Allow-Origin
à sua resposta. No node.js, isso é feito através do método response.setHeader
:
response.setHeader("Access-Control-Allow-Origin", "*"); // Permite qualquer site fazer
// requisições Ajax no seu servidor
ou:
response.setHeader("Access-Control-Allow-Origin", "http://example.com"); // Domínio(s)
response.setHeader("Access-Control-Allow-Origin", "http://example.net"); // específico(s)
Essa resposta no SOEN tem mais detalhes, se precisar. Para examinar as opções que o CORS oferece (inclusive os outros headers que você pode querer adicionar) sugiro esse tutorial (nota: em inglês). Em resumo:
Access-Control-Allow-Credentials
: faz com que os cookies sejam passados junto com uma requisição CORS (por padrão, não são);Access-Control-Expose-Headers
: permite que o código fazendo a requisição CORS acesse outros tipos de headers além dos mais comuns.Além do que o @mgibsonbr, sobre response.setHeader("Access-Control-Allow-Origin", "*");
e o Access-Control-Allow-Credentials
, caso você faça requests além de GET, como POST, PUT, DELETE ou mesmo algum método customizado, será obritarório definir de um a dois headers adicionais.
Tanto a referência no HTML5Rocks como uma segunda pergunta logo abaixo da citada anteriomente que o @mgibsonbr comentou citam elas. Faço questão de comentar isso aqui porque isso já me deu dor de cabeça enorme ao trabalhar com phantomjs
e erros randomicos com mensagens de erro nada claras.
Para métodos além de GET, será obrigatório que o servidor diga quais métodos ele aceita, algo como
res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE');
//res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE,OPTIONS');
Caso tenha erros, adicione também OPTIONS. Em algumas situações bem, complicadas de debugar seu navegador poderá fazer uma requisição OPTIONS antes da requisição que ele de fato foi solicitado para fazer.
Além disso, caso use algum header fora do comum, é interessante que seu servidor responda que tal header pode ser usado.
res.header('Access-Control-Allow-Headers', 'Content-Type, X-Custom-Header');
Como alguns tipos de headers podem ser usados de forma maliciosa, navegadores poderão bloquear que você envie um header fora do comum. Reusar um objeto XMLHttpRequest e acidentalmente enviar um header indesejado vai causar erro. Tome cuidado com isso.
Vale a pena usar o Postman (http://www.getpostman.com/) para debugar seus testes. Ele é bem intuitivo e flexível. Outra ferramenta que é mão na roda é usar o cURL quando pra inspecionar a resposta crua do seu servidor.
Caso ainda assim tenha problemas, certifiques-se de deixar seu servidor NodeJS fazendo log de TODO tipo de requisição para ver se seu aplicativo não está fazendo algo implícito, como uma requisição OPTIONS, e você tenha uma mensagem de erro nada clara.
OPTIONS
é necessário para requisições preflight. Que eu saiba, apenas o GET
está isento disso, então é importante sim que o servidor suporte OPTIONS
caso se use o Access-Control-Allow-Methods
. Só não sei se faz sentido adicionar isso no allow methods - já que esse header é enviado como resposta a uma requisição OPTIONS
...
Commented
15/02/2014 às 7:29
OPTIONS
no Access-Control-Allow-Methods
Commented
15/02/2014 às 15:32
Você pode usar o middleware https://npmjs.org/package/cors para habilitar o suporte a CORS de forma fácil e rápida.