The browser's cross-origin policy a

The browser's cross-origin policy allows requests to be sent-- it simply does not allow the browser to receive the response. Similarly, Sails will still process all the requests that come in regardless of domain, even with CORS enabled. But for routes with CORS enabled, it will simply set the appropriate headers on the response so that the browser can decide whether or not to expose the response. For example, if you send a GET request to /foo/bar from a domain that is not in your CORS whitelist (origin), the bar action in your FooController.js file will still run, but the browser will throw away the result. This may seem counterintuitive, but it is important because it allows non-browser-based clients (like Postman and curl) to work while still blocking the kind of attacks that the Same-Origin Policy is meant to protect against.
If you want to completely prevent Sails from processing requests from disallowed domains, you can use the securityLevel setting:

Kết quả (Việt) 1:

Trình duyệt cross-nguồn gốc chính sách cho phép yêu cầu được gửi--nó chỉ đơn giản là không cho phép trình duyệt để nhận được những phản ứng. Tương tự, cột buồm vẫn sẽ xử lý tất cả các yêu cầu đến trong bất kể miền, ngay cả với CLYDE được kích hoạt. Nhưng đối với các tuyến đường với CLYDE được kích hoạt, nó sẽ chỉ cần đặt tiêu đề thích hợp trên các phản ứng trình duyệt có thể quyết định có hay không để tiếp xúc với các phản ứng. Ví dụ, nếu bạn gửi yêu cầu GET/foo/bar từ một tên miền không phải là của bạn danh sách trắng CLYDE (nguồn gốc), thanh trình hành động trong tập tin FooController.js của bạn sẽ vẫn chạy, nhưng trình duyệt sẽ vứt bỏ kết quả. Điều này có thể có vẻ counterintuitive, nhưng nó là quan trọng vì nó cho phép khách hàng không-trình duyệt dựa trên (như người đưa thư và curl) để làm việc trong khi vẫn còn chặn các loại tấn công chính sách cùng một nguồn gốc có nghĩa là để bảo vệ chống lại.Nếu bạn muốn hoàn toàn ngăn chặn buồm từ chế biến yêu cầu từ các tên miền không được phép, bạn có thể sử dụng các cài đặt securityLevel:

Kết quả (Việt) 2:

Chính sách xuyên nguồn gốc của trình duyệt cho phép các yêu cầu để được sent-- nó chỉ đơn giản là không cho phép trình duyệt để nhận được phản hồi. Tương tự như vậy, Sails vẫn sẽ xử lý tất cả các yêu cầu mà đi theo bất kể miền, thậm chí với CORS kích hoạt. Nhưng đối với các tuyến đường với CORS kích hoạt, nó sẽ chỉ đơn giản là thiết lập các tiêu đề thích hợp vào phản ứng để trình duyệt có thể quyết định có hay không để lộ các phản ứng. Ví dụ, nếu bạn gửi một yêu cầu GET / foo / bar từ một tên miền mà không có trong danh sách trắng CORS của bạn (nguồn gốc), hành động thanh trong tập tin FooController.js của bạn sẽ vẫn chạy, nhưng trình duyệt sẽ vứt bỏ kết quả. Điều này có vẻ phản trực giác, nhưng điều quan trọng là bởi vì nó cho phép các khách hàng không dựa trên trình duyệt (như Postman và curl) để làm việc trong khi vẫn ngăn chặn các loại tấn công mà các Same-Origin Chính sách là có nghĩa là để bảo vệ chống lại.

Kết quả (Việt) 3:

Nguồn gốc của trình duyệt qua chiến lược cho phép gửi yêu cầu, nó không được phép nhận được sự hưởng ứng; trình duyệt.Tương tự, buồm vẫn sẽ được xử lý tất cả các yêu cầu đến dù miền, kể cả hệ thống CORS bật.Nhưng đối với các tuyến đường CORS bật, nó sẽ đơn giản đặt tựa đề cho trình duyệt phản ứng thích hợp có thể quyết định công khai trả lời.Ví dụ, nếu anh lấy một từ không có trong các CORS trắng miền / foo/bar yêu cầu (of Origin), quán bar tập tin foocontroller.js hoạt động ở Anh vẫn sẽ chạy, nhưng kết quả của trình duyệt sẽ bỏ đi.Nó có vẻ khó lường, nhưng điều này là quan trọng bởi vì nó cho phép khách hàng phải dựa trên trình duyệt web (như người đưa thư và quăn) làm việc khi vẫn đen, tương đồng chiến thuật này là để ngăn chặn cuộc tấn công này.Nếu anh muốn hoàn toàn ngăn buồm từ chế biến từ cho phép miền An yêu cầu, bạn có thể sử dụng thiết lập: