sysops
0ddfad94df
- archive/internal/retentionapi.CORS: erlaubt genau einen konfigurierten Origin (kein Wildcard), beantwortet OPTIONS-Preflights direkt - cmd/retention-api: neue Pflicht-Env NEXARCH_RETENTION_CORS_ALLOWED_ORIGIN, mux mit CORS umschlossen - gefunden durch Sichtpruefung des laufenden RET-06-Frontends: curl umgeht CORS, ein echter Browser haette den Fetch blockiert - weder Go- noch Vitest-Tests konnten das strukturell erfassen - 3 Tests: erlaubter Origin bekommt Header, Preflight korrekt beantwortet, fremder Origin bekommt keinen Header - real deployed auf 131, genau der bei der Sichtpruefung fehlgeschlagene Aufruf (Origin http://127.0.0.1:3099) liefert jetzt 200 mit korrektem Access-Control-Allow-Origin Pruefungen siehe archive/docs/RET-10-PRUEFPROTOKOLL.md
28 lines
1.1 KiB
Go
28 lines
1.1 KiB
Go
package retentionapi
|
|
|
|
import "net/http"
|
|
|
|
// CORS ist RET-10: retention-api hatte bislang keine CORS-Header, ein
|
|
// echter Browser blockierte daher Fetches vom RET-06-Frontend (anderer
|
|
// Origin/Port) — real per Sichtprüfung gefunden, nicht durch die
|
|
// ursprünglichen RET-06/RET-06-API-Prüfungen erfasst (curl/Vitest-Fetch
|
|
// erzwingen keine Same-Origin-Policy). Erlaubt GENAU EINEN konfigurierten
|
|
// Origin, kein Wildcard — verhindert, dass jede beliebige Website die
|
|
// Fristenkonfiguration im Namen eines eingeloggten Nutzers aufrufen kann.
|
|
func CORS(allowedOrigin string, next http.Handler) http.HandlerFunc {
|
|
return func(w http.ResponseWriter, r *http.Request) {
|
|
origin := r.Header.Get("Origin")
|
|
if origin != "" && origin == allowedOrigin {
|
|
w.Header().Set("Access-Control-Allow-Origin", allowedOrigin)
|
|
w.Header().Set("Vary", "Origin")
|
|
w.Header().Set("Access-Control-Allow-Methods", "GET, POST, OPTIONS")
|
|
w.Header().Set("Access-Control-Allow-Headers", "Content-Type, X-User-Role")
|
|
}
|
|
if r.Method == http.MethodOptions {
|
|
w.WriteHeader(http.StatusNoContent)
|
|
return
|
|
}
|
|
next.ServeHTTP(w, r)
|
|
}
|
|
}
|