Penguji CORS & Penganalisis Kebijakan
Uji CORS di browser atau simulasikan preflight dengan origin apa pun
Permintaan
Disimulasikan dengan permintaan server; browser yang menegakkan hasil sebenarnya. Server CodingTool mengirim preflight, ditambah GET atau HEAD untuk metode tersebut, tanpa cookie, nilai header, atau isi, lalu hanya mengembalikan header respons. Tidak ada yang disimpan.
Dikirim sebagai header Origin. Gunakan null untuk menguji halaman sandbox atau berkas lokal.
Satu per baris. Hanya nama header yang sampai ke server; nilainya tetap di browser Anda.
Permintaan sederhana: browser mengirimnya tanpa preflight.
Memeriksa aturan untuk permintaan dengan cookie atau autentikasi HTTP. Tidak ada yang dikirim.
Mengirim satu preflight tambahan dengan origin asing https://cors-probe.example.
Hasil
Header respons
Header respons muncul di sini setelah pengujian.
Alat Terkait
Apa yang diperiksa penguji CORS?
Alat ini menunjukkan apakah browser mengizinkan halaman web dari satu origin membaca respons dari origin lain, beserta alasannya. Simulasi Kebijakan mengevaluasi Access-Control-Allow-Origin, -Credentials, -Methods, -Headers, -Expose-Headers, dan -Max-Age serta Vary: Origin, lalu menandai setiap pemeriksaan sebagai Lolos, Peringatan, Gagal, atau Informasi bersama nilai header yang mendasarinya.
Uji di Browser atau Simulasi Kebijakan?
Uji di Browser mengirim fetch sungguhan dari browser Anda, jadi hasilnya adalah penegakan browser yang nyata, tetapi origin-nya selalu CodingTool.dev dan permintaan yang diblokir hanya menampilkan kesalahan umum. Simulasi Kebijakan meminta server CodingTool mengirim preflight dengan origin pilihan Anda dan menganalisis header respons. Ini adalah simulasi: browser yang menegakkan hasil akhirnya.
Kapan browser mengirim preflight?
Permintaan dengan metode selain GET, HEAD, atau POST, header di luar daftar aman CORS, atau Content-Type selain text/plain, multipart/form-data, atau application/x-www-form-urlencoded didahului permintaan OPTIONS. Preflight harus menjawab dengan status 2xx dan tidak boleh dialihkan.
Kredensial dan wildcard
Dengan kredensial, Access-Control-Allow-Origin harus menyebut origin yang persis dan Access-Control-Allow-Credentials harus true. Tanda * di Allow-Origin, Allow-Methods, Allow-Headers, atau Expose-Headers dianggap harfiah untuk permintaan berkredensial, dan Allow-Headers: * tidak pernah mencakup Authorization. Header yang longgar tidak otomatis berarti celah keamanan; alat ini melaporkan apa yang diterima browser.
Penggunaan jaringan dan privasi
Lalu lintas Uji di Browser hanya berjalan dari browser Anda ke tujuan. Simulasi Kebijakan mengirim URL, origin, metode, dan nama header ke server CodingTool, tidak pernah nilai header, cookie, atau isi permintaan. Server memblokir alamat privat, lokal, dan metadata cloud, memeriksa ulang alamat di setiap koneksi, tidak mengikuti pengalihan, berhenti setelah 8 detik, dibatasi frekuensinya, dan tidak menyimpan apa pun.
