👩🏼‍🤝‍👩🏻 🦎 🈵 WCF + क्रॉस डोमेन अजाक्स कॉल (कोर) + प्राधिकरण 👨🏽‍🤝‍👨🏻 🥀 🏫

शुभ दोपहर

मैं विभिन्न डोमेन से WCF सेवाओं के साथ काम करने की समस्या को हल करने के लिए संभावित दृष्टिकोणों में से एक को प्रदर्शित करना चाहूंगा। इस विषय पर मुझे जो जानकारी मिली वह या तो अधूरी थी या उसमें अत्यधिक मात्रा में जानकारी थी, जिसे समझना मुश्किल था। मैं WCF और AJAX POST अनुरोधों के बीच बातचीत के कई तरीकों के बारे में बात करना चाहता हूं, जिसमें कुकीज़ और प्राधिकरण के बारे में जानकारी शामिल है।

जैसा कि आप जानते हैं कि सुरक्षा कारणों से AJAX कॉल किसी अन्य डोमेन पर काम नहीं करेगा। इस समस्या को हल करने के लिए, CORS मानक ( विकी , मोज़िला ) का आविष्कार और विमोचन किया गया। इस मानक का उपयोग एक्सेस करने और प्रतिबंधित करने के लिए विशिष्ट HTTP हेडर के उपयोग से है। इस प्रोटोकॉल का उपयोग करते हुए एक सरल संचार प्रक्रिया का अर्थ है:

क्लाइंट (ब्राउज़र) Origin

HTTP HTTP हेडर के साथ एक कनेक्शन शुरू करता है, सर्वर को Access-Control-Allow-Origin

हेडर का उपयोग करके जवाब देना चाहिए। एक पते से अनुरोध / प्रतिक्रिया जोड़ी का उदाहरण foo.example

foo.example

सेवा के लिए bar.other/resources/public-data

bar.other/resources/public-data

:

प्रश्न:

GET / संसाधन / सार्वजनिक डेटा / HTTP / 1.1

होस्ट: bar.other

मूल: foo.example

[अन्य हेडर]

उत्तर है:

HTTP / 1.1 200 ठीक है

दिनांक: सोम, ०१ दिसंबर २०० 00: 00:23:53 GMT

प्रवेश-नियंत्रण-अनुमति-उत्पत्ति: *

सामग्री-प्रकार: आवेदन / xml

[XML डेटा]

सुर्खियों में

Access-Control-Allow-Origin

- यह हेडर निर्धारित करता है कि किन संसाधनों के अनुरोध आ सकते हैं। *

या एक विशिष्ट डोमेन का उपयोग किया जा सकता है, उदा। foo.example

foo.example

। यह शीर्षलेख केवल एक हो सकता है, और इसमें केवल एक मान हो सकता है, अर्थात डोमेन सूची निर्दिष्ट नहीं की जा सकती।
Access-Control-Allow-Methods

- यह हेडर परिभाषित करता है कि सर्वर के साथ संवाद करने के लिए किन तरीकों का इस्तेमाल किया जा सकता है। हम खुद को निम्न तक सीमित रखते हैं: POST,GET,OPTIONS

, लेकिन आप PUT

, और DELETE

, और अन्य का भी उपयोग कर सकते हैं।
Access-Control-Allow-Headers

हेडर्स - यह हेडर उपलब्ध हेडर की सूची को परिभाषित करता है। उदाहरण के लिए, Content-Type

, जो आपको application/json

लिए प्रतिक्रिया प्रकार सेट करने की अनुमति देता है।
Access-Control-Allow-Credentials

- यह हेडर यह निर्धारित करता है कि कुकीज़ और प्राधिकरण हेडर की अनुमति है या नहीं। संभावित मूल्य true

और false

। महत्वपूर्ण: डेटा केवल तभी प्रसारित किया जाएगा जब Access-Control-Allow-Origin

हेडर में एक विशिष्ट डोमेन स्पष्ट रूप से सेट किया गया हो, यदि *

का उपयोग किया जाता है, तो हेडर को अनदेखा किया जाएगा और कोई डेटा प्रसारित नहीं किया जाएगा।

सामान्य तौर पर, ब्राउज़र प्रतिबंध लगाता है। यदि वह हेडर में कुछ पसंद नहीं करता है, तो उसने यह डेटा उपयोगकर्ता को नहीं दिया है (जब तक कि आवश्यक Access-Control-Allow-Headers

वापस नहीं आता है, या यदि Access-Control-Allow-Credentials

और सही Access-Control-Allow-Origin

नहीं है, तो सर्वर को निर्दिष्ट नहीं किया जाता है) Access-Control-Allow-Origin

: किसी अन्य डोमेन के लिए POST

अनुरोध से पहले, ब्राउज़र पहले सेवा के साथ काम करने के अनुमत तरीकों के बारे में जानकारी प्राप्त करने के लिए पहले से अनुरोध करेगा।

WCF

इस विषय पर अलग-अलग गुणवत्ता की जानकारी की एक निश्चित राशि है। दुर्भाग्य से, WCF मानक तरीकों से इन हेडर का उपयोग करने की अनुमति नहीं देता है, हालांकि, इस समस्या को हल करने के लिए कई विकल्प हैं। मैं उनमें से कुछ को आपके ध्यान में लाता हूं।

Web.config का उपयोग करके समाधान।

इस समाधान में आवश्यक हेडर को सीधे web.config में जोड़ना शामिल है।

 <system.webServer> <httpProtocol> <customHeaders> <add name="Access-Control-Allow-Origin" value="http://foo.example" /> <add name="Access-Control-Allow-Headers" value="Content-Type" /> <add name="Access-Control-Allow-Methods" value="POST, GET, OPTIONS" /> <add name="Access-Control-Allow-Credentials" value="true" /> </customHeaders> </httpProtocol> </system.webServer>

यह अपनी सादगी और अनम्यता से प्रतिष्ठित है। विशेष रूप से, इस विशेष उदाहरण का उपयोग नहीं किया जा सकता है यदि एक से अधिक संभव डोमेन हैं, इसके अलावा, यह पूरी साइट (किसी विशेष मामले में) को CORS की अनुमति देता है।

Global.asax का उपयोग कर समाधान

इस समाधान में Global.asax.cs में कोड लिखना शामिल है जो प्रत्येक अनुरोध के लिए आवश्यक हेडर जोड़ता है।

 protected void Application_BeginRequest(object sender, EventArgs e) { var allowedOrigins = new [] { "http://foo.example", "http://bar.example" }; var request = HttpContext.Current.Request; var response = HttpContext.Current.Response; var origin = request.Headers["Origin"]; if (origin != null && allowedOrigins.Any(x => x == origin)) { response.AddHeader("Access-Control-Allow-Origin", origin); response.AddHeader("Access-Control-Allow-Methods", "GET, POST, OPTIONS"); response.AddHeader("Access-Control-Allow-Headers", "Content-Type, X-Requested-With"); response.AddHeader("Access-Control-Allow-Credentials", "true"); if (request.HttpMethod == "OPTIONS") { response.End(); } } }

यह समाधान कई डोमेन का समर्थन करता है, लेकिन पूरी साइट पर लागू होता है। बेशक, विशिष्ट सेवाओं के लिए सभी शर्तों को वहीं सेट किया जा सकता है, लेकिन मेरी राय में यह अनुमत सेवाओं की सूची बनाए रखने में असुविधाओं से जुड़ा है।

WCF सेवा कोड में हेडर जोड़ने के साथ समाधान

यह समाधान केवल पिछले एक से भिन्न होता है जिसमें हेडर किसी विशेष सेवा या विधि के लिए जोड़े जाते हैं। सामान्य तौर पर, समाधान इस तरह दिखता है:

 [ServiceContract] public class MyService { [OperationContract] [WebInvoke(Method = "POST", ...)] public string DoStuff() { AddCorsHeaders(); return "<Data>"; } private void AddCorsHeaders() { var allowedOrigins = new [] { "http://foo.example", "http://bar.example" }; var request = WebOperationContext.Current.IncomingRequest; var response = WebOperationContext.Current.OutgoingResponse; var origin = request.Headers["Origin"]; if (origin != null && allowedOrigins.Any(x => x == origin)) { response.AddHeader("Access-Control-Allow-Origin", origin); response.AddHeader("Access-Control-Allow-Methods", "GET, POST, OPTIONS"); response.AddHeader("Access-Control-Allow-Headers", "Content-Type, X-Requested-With"); response.AddHeader("Access-Control-Allow-Credentials", "true"); if (request.HttpMethod == "OPTIONS") { response.End(); } } } }

यह दृष्टिकोण आपको सेवा या यहां तक कि एक विधि के ढांचे में कॉर्स के उपयोग को सीमित करने की अनुमति देता है। मुख्य नुकसान यह है कि प्रत्येक सेवा पद्धति में AddCorsHeaders

कॉल AddCorsHeaders

आवश्यक है। प्लस - उपयोग में आसानी।

देशी EndPointBehavior और DispatchMessageInspector का उपयोग कर समाधान

यह दृष्टिकोण कार्यक्षमता का विस्तार करने के लिए WCF की क्षमताओं का उपयोग करता है।

2 वर्ग EnableCorsBehavior

बनाए गए हैं:

 using System; using System.ServiceModel.Channels; using System.ServiceModel.Configuration; using System.ServiceModel.Description; using System.ServiceModel.Dispatcher; namespace My.Web.Cors { public class EnableCorsBehavior : BehaviorExtensionElement, IEndpointBehavior { public void AddBindingParameters(ServiceEndpoint endpoint, BindingParameterCollection bindingParameters) { } public void ApplyClientBehavior(ServiceEndpoint endpoint, ClientRuntime clientRuntime) { } public void ApplyDispatchBehavior(ServiceEndpoint endpoint, EndpointDispatcher endpointDispatcher) { endpointDispatcher.DispatchRuntime.MessageInspectors.Add(new EnableCorsMessageInspector()); } public void Validate(ServiceEndpoint endpoint) { } public override Type BehaviorType { get { return typeof(EnableCorsBehavior); } } protected override object CreateBehavior() { return new EnableCorsBehavior(); } } }

और EnableCorsMessageInspector

:

 using System; using System.Collections.Generic; using System.Globalization; using System.Linq; using System.ServiceModel; using System.ServiceModel.Channels; using System.ServiceModel.Dispatcher; namespace My.Web.Cors { public class EnableCorsMessageInspector : IDispatchMessageInspector { public object AfterReceiveRequest(ref Message request, IClientChannel channel, InstanceContext instanceContext) { var allowedOrigins = new [] { "http://foo.example", "http://bar.example" }; var httpProp = (HttpRequestMessageProperty)request.Properties[HttpRequestMessageProperty.Name]; if (httpProp != null) { string origin = httpProp.Headers["Origin"]; if (origin != null && allowedOrigins.Any(x => x == origin)) { return origin; } } return null; } public void BeforeSendReply(ref Message reply, object correlationState) { string origin = correlationState as string; if (origin != null) { HttpResponseMessageProperty httpProp = null; if (reply.Properties.ContainsKey(HttpResponseMessageProperty.Name)) { httpProp = (HttpResponseMessageProperty)reply.Properties[HttpResponseMessageProperty.Name]; } else { httpProp = new HttpResponseMessageProperty(); reply.Properties.Add(HttpResponseMessageProperty.Name, httpProp); } httpProp.Headers.Add("Access-Control-Allow-Origin", origin); httpProp.Headers.Add("Access-Control-Allow-Credentials", "true"); httpProp.Headers.Add("Access-Control-Request-Method", "POST,GET,OPTIONS"); httpProp.Headers.Add("Access-Control-Allow-Headers", "X-Requested-With,Content-Type"); } } } }

बनाये गए EnableCorsBehavior

को web.config

जोड़ें:

 <system.serviceModel> ... <extensions> <behaviorExtensions> <add name="crossOriginResourceSharingBehavior" type="My.Web.Cors.EnableCorsBehavior, My.Web, Version=1.0.0.0, Culture=neutral" /> </behaviorExtensions> </extensions> ... </system.serviceModel>

EnableCorsBehavior

के लिए बनाए गए एक्सटेंशन को हमारे Endpoint

के Behavior

कॉन्फ़िगरेशन में खोजें और जोड़ें

 <system.serviceModel> <services> <service name="My.Web.Services.MyService"> <endpoint address="" behaviorConfiguration="My.Web.Services.MyService" binding="webHttpBinding" contract="My.Web.Services.MyService" /> </service> </services> ... <behaviors> ... <endpointBehaviors> ... <behavior name="My.Web.Services.MyService"> <webHttp/> <crossOriginResourceSharingBehavior /> <!--     --> </behavior> ... </endpointBehaviors> ... </behaviors> ... </system.serviceModel>

हमें केवल OPTIONS

विधि के साथ प्रारंभिक अनुरोध को संसाधित करने की आवश्यकता है। मेरे मामले में, मैंने सबसे सरल विकल्प का उपयोग किया: सेवा के निकाय में एक OPTIONS

अनुरोध हैंडलर विधि जोड़ा जाता है।

 [OperationContract] [WebInvoke(Method = "OPTIONS", UriTemplate = "*")] public void GetOptions() { //    EnableCorsMessageInspector }

बेशक, प्रीफ़लाइट अनुरोधों के साथ काम करने के लिए एक समान WCF एक्सटेंशन है, उनमें से एक को लेख के अंत में संदर्भों की सूची से संदर्भ द्वारा पढ़ा जा सकता है। मुख्य नुकसान सेवा के शरीर और अतिरिक्त कोड की एक बड़ी राशि के लिए GetOptions

विधि को जोड़ने की आवश्यकता है। दूसरी ओर, यह दृष्टिकोण हमें सेवा के तर्क और संचार के तर्क को लगभग पूरी तरह से अलग करने की अनुमति देता है।

जावास्क्रिप्ट और ब्राउज़रों के बारे में कुछ शब्द

प्राधिकरण और कुकी डेटा भेजने का समर्थन करने के लिए, यह आवश्यक है कि withCredentials

में withCredentials

ध्वज को true

सेट किया गया true

। मुझे लगता है कि बहुत से लोग AJAX के साथ काम करने के लिए jQuery का उपयोग करते हैं, इसलिए मैं इसके लिए एक उदाहरण दूंगा:

  $.ajax({ type: 'POST', cache: false, dataType: 'json', xhrFields: { withCredentials: true }, contentType: 'application/json; charset=utf-8', url: options.serviceUrl + '/DoStuff' });

दुर्भाग्य से, प्राधिकरण डेटा भेजने से संबंधित कार्यक्षमता केवल संस्करण 10 से IE के लिए उपलब्ध हो गई, IE8 / 9 ब्राउज़र इस जानकारी को भेजने का समर्थन नहीं करते हैं, और केवल GET और POST के साथ काम कर सकते हैं।

प्राधिकरण

उपरोक्त सभी तरीकों में, मुख्य साइट से प्रमाणीकरण डेटा का उपयोग किया जाता है। मुख्य साइट पर प्राधिकरण होना bar.other

bar.other

, हम साइट से Ajax अनुरोध द्वारा उपयोगकर्ता डेटा वापस करने में सक्षम हैं foo.example

foo.example

। मेरे मामले में, इसका उपयोग उपयोगकर्ता को सूचनाएं प्राप्त करने और घटनाओं पर प्रतिक्रिया देने में सक्षम करने के लिए किया गया था, जबकि एक ही व्यवसाय परियोजना के हिस्से के रूप में रहने वाले साइटों में से एक पर, लेकिन विभिन्न डोमेन और प्लेटफार्मों पर स्थित है। जैसा कि ऊपर उल्लेख किया गया है, यहां प्रमुख बिंदु हेडर Access-Control-Allow-Credentials

और XmlHttpRequest

ध्वज को withCredentials=true

सेट करना withCredentials=true

।

सूत्रों की सूची

code.msdn.microsoft.com/windowsdesktop/Implementing-CORS-support-c1f9cd4b - सभी अनुरोधों के लिए MessageInspector के पूर्ण कार्यान्वयन का एक उदाहरण और इसके लिए एक लेख
enable-cors.org/server_wcf.html - अपने स्वयं के व्यवहार और MessageInspector लिखने के बारे में एक छोटी पुस्तिका, विकल्प अनुरोधों की विशेषताओं को ध्यान में नहीं रखता है, और मूल डोमेन चेक / चयन के उपयोग की अनुमति नहीं देता है
developer.mozilla.org/en-US/docs/HTTP/Access_control_CORS#Access-Control-Allow-Headers - CORS पर जानकारी के सबसे व्यापक स्रोतों में से एक

WCF + क्रॉस डोमेन अजाक्स कॉल (कोर) + प्राधिकरण