flask cors

什么是CORS

CORS是”跨域资源共享”（Cross-Origin Resource Sharing）的缩写，是一种机制，用于允许一个网页的特定源（域）能够访问另一个源（域）上的选定资源。

在Web开发中，通常限制跨域访问是基于浏览器的同源策略（Same-Origin Policy）。同源策略是浏览器的一种安全机制，它限制了一个源的文档或脚本如何能够与其它源的资源进行交互。如果触发了跨域访问，浏览器就会阻止请求的发送。

然而，在某些情况下，我们可能需要允许跨域访问，例如前后端分离的项目中，前端部分运行在某个域名下，而后台API服务运行在不同的域名下。为了解决这个问题，我们可以使用CORS来进行跨域访问的控制。

Flask CORS

Flask CORS是一个提供跨域资源共享能力的Flask扩展。它通过添加规则到HTTP响应的Access-Control-Allow-*头部字段来启用CORS。Flask CORS可以非常方便地控制允许的跨域访问请求，保障Web应用的安全性。

安装Flask CORS

在使用Flask CORS之前，需要先安装它。可以通过pip命令进行安装：

$ pip install -U flask-cors

安装完成后，在Flask应用中引入Flask CORS模块：

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)

启用CORS

启用CORS很简单，只需在Flask应用上调用CORS(app)即可，如下所示：

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app)

这样就启用了CORS功能，Flask应用允许来自任何源的跨域访问。

基本配置

除了默认配置外，Flask CORS还提供了一些配置选项，可以根据实际需求进行配置。

`origins`参数

origins参数指定了允许的源。可以传递一个字符串、一个正则表达式、一个list、一个set或一个函数。下面是一些常用的示例：

字符串: "http://example.com"只允许来自http://example.com的请求。
正则表达式: r"http://.*\.example\.com"允许以http://开头且以.example.com结尾的任何请求。
列表或集合: ["http://example.com", "http://another-example.com"]允许来自这两个源的请求。
函数: 使用一个函数来判断请求来自哪些源，接受一个字符串参数，返回值为True或False。

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, origins=["http://example.com"])  # 只允许来自http://example.com的请求

`methods`参数

methods参数指定了允许的HTTP方法。可以传递一个字符串、一个list或一个set。默认情况下，Flask CORS会允许所有方法。

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, methods=["GET", "POST"])  # 只允许GET和POST方法

`allow_headers`参数

allow_headers参数指定了允许的请求头。可以传递一个字符串、一个list或一个set。默认情况下，Flask CORS会允许所有请求头。

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, allow_headers=["Authorization"])  # 只允许Authorization请求头

`expose_headers`参数

expose_headers参数指定了让浏览器访问的响应头。可以传递一个字符串、一个list或一个set。默认情况下，Flask CORS不会让浏览器访问任何响应头。

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, expose_headers=["Content-Type"])  # 允许浏览器访问Content-Type响应头

高级配置

在某些场景下，可能需要更为复杂的配置。Flask CORS还提供了其他一些高级配置选项。

`supports_credentials`参数

supports_credentials参数指定了是否允许发送凭证（如Cookie、HTTP认证或客户端SSL证书）的请求。默认情况下，Flask CORS不会发送凭证。

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, supports_credentials=True)  # 允许发送凭证

`max_age`参数

max_age参数指定了预检请求（OPTIONS请求）的最大时间（以秒为单位）。默认情况下，Flask CORS不会缓存OPTIONS请求的响应。

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, max_age=3600)  # 预检请求的响应最大缓存时间为1小时

`send_wildcard`参数

send_wildcard参数指定了是否发送Access-Control-Allow-Origin: *头部字段。默认情况下，Flask CORS不会发送通配符。

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, send_wildcard=True)  # 发送Access-Control-Allow-Origin: *头部字段

示例

接下来我们通过一个简单的示例来演示如何使用Flask CORS。

from flask import Flask, jsonify
from flask_cors import CORS

app = Flask(__name__)
CORS(app)

@app.route('/')
def hello_world():
    return jsonify(message="Hello, world!")

if __name__ == '__main__':
    app.run()

以上代码创建了一个简单的Flask应用，启用了CORS，并添加了一个根路由/。当访问根路由时，会返回一个包含message字段的JSON响应。

在命令行中运行应用，然后在浏览器中访问http://localhost:5000/，你将会看到以下回应：

{
  "message": "Hello, world!"
}

这表明跨域访问已经成功，并且Flask应用已经能够正常响应。

总结

借助于Flask CORS，我们可以轻松地处理跨域访问问题，在上一节中，我们已经了解了Flask CORS的基本使用和常用配置选项。下面我们将继续探讨一些更高级的用法和常见问题的解决方法。

处理预检请求

在某些场景下，浏览器会自动发送一个预检请求（Preflight Request），用于检查实际请求是否安全，是否允许跨域访问。预检请求是一种OPTIONS请求，并包含了一些特殊的头部字段，比如Access-Control-Request-Method和Access-Control-Request-Headers。

Flask CORS默认情况下会处理预检请求，并在响应中添加相应的头部字段，如Access-Control-Allow-Methods和Access-Control-Allow-Headers。但是，如果你有特殊的需求，可以通过修改CORS实例的options属性来进行定制。

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
cors = CORS(app, resources={r"/api/*": {"origins": "*"}})
cors.options["expose_headers"] = "Authorization, X-Custom-Header"
cors.options["allow_headers"] = ["Content-Type", "Authorization"]

以上代码片段中，我们通过cors实例的options属性来定制了响应头部字段，使其满足特定要求。这样一来，在接收到浏览器发送的预检请求时，Flask CORS会根据我们的配置返回相应的响应头部字段。

动态配置CORS

有时我们需要根据请求的具体情况动态地配置CORS。比如在不同的请求中，根据请求头中的信息来配置允许的源。

from flask import Flask, request
from flask_cors import CORS

app = Flask(__name__)
cors = CORS(app, resources={r"/api/*": {"origins": "*"}})

@app.before_request
def before_request():
    if "/api/" in request.url:
        cors.origin = request.headers.get("Origin")

@app.route('/api/data')
def get_data():
    return jsonify(message="Hello, world!")

if __name__ == '__main__':
    app.run()

在上述代码中，我们使用了Flask的before_request装饰器来在每个请求之前动态地设置CORS的origin属性。这样一来，在每个请求中，我们可以根据请求头部的Origin字段来动态配置允许的源。

存储会话信息

在使用CORS时，如果需要在跨域请求中存储会话信息，我们需要确保服务器能够接收和发送cookie。为了允许发送带有cookie的请求，我们需要将supports_credentials参数设置为True。

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, supports_credentials=True)

@app.route('/')
def hello():
    set_cookie("SESSIONID", "123456", httponly=True)
    return "Hello, world!"

if __name__ == '__main__':
    app.run()

当请求发送到服务器时，浏览器会自动附加cookie信息。我们可以通过response对象的set_cookie方法设置cookie。