Zkroťte CORS v Orchard Core pomocí interního modulu

Aktivace a konfigurace modulu OrchardCore.Cors

Místo psaní vlastního middleware kódu nabízí Orchard Core elegantní multi-tenant řešení. Modul plně obaluje nativní infrastrukturu ASP.NET Core a přidává jí dynamičnost. Při vývoji modulů na míru tak můžete využívat centrální nastavení.

Metoda 1: Konfigurace skrze Administrační UI

Největší výhodou modulu je možnost spravovat CORS bez nutnosti nasazování nového kódu. To je ideální pro rychlé úpravy v produkci.

1. V administraci přejděte do Configuration -> Features.
2. Vyhledejte CORS Configuration a modul aktivujte.
3. Následně jděte do Configuration -> Settings -> CORS a klikněte na Add a policy.

1. Podrobnosti (Název a výchozí stav)

• Název zásady (Policy Name): Identifikátor politiky. Pokud máte v systému více specifických endpointů (např. jeden pro veřejný web, druhý pro interní B2B portál), můžete si definovat více politik.
• Nastavit jako výchozí zásady (Is Default Policy): Pokud toto zaškrtnete, Orchard Core aplikuje tuto politiku automaticky na všechny HTTP požadavky daného tenanta, aniž byste museli API kontrolery explicitně dekorovat atributem [EnableCors].

2. Přihlašovací údaje (Credentials)

• Allow credentials: Kritické nastavení! Zaškrtnutím tohoto pole (.AllowCredentials()) sdělujete prohlížeči, že smí odesílat citlivá data (cookies, HTTP autentizační hlavičky, TLS klientské certifikáty). Je to nezbytné pro přihlášené uživatele ve vaší SPA aplikaci.
• 🛑 Zásadní úskalí: Jak je uvedeno přímo v nápovědě UI na obrázku: "This setting is not allowed in combination with Allow Any Origin." Pokud povolíte credentials, ASP.NET Core z důvodu ochrany proti útokům (OWASP) striktně vyžaduje explicitně vyjmenované domény. Pokud byste zaškrtli obojí, Orchard Core politiku tiše ignoruje a komunikace spadne!

3. Původy (Origins)

• Povolit libovolný původ (Allow Any Origin): Rychlá cesta pro veřejná API (např. veřejná data o počasí). Povoluje přístup odkudkoliv (hodnota *). V enterprise vývoji se tomuto nastavení u produkčních dat vyhýbáme.
• Allowed origins: Tlačítkem "Přidat Původ" definujete seznam důvěryhodných URL adres vašich frontendových aplikací (např. https://moje-appka.cz). Tip: Nikdy neuvádějte lomítko na konci adresy, prohlížeč hlavičku Origin odesílá vždy bez něj.

4. Hlavičky (Headers)

• Řídí hlavičky posílané od klienta k serveru (např. Authorization, Content-Type). Běžně se zaškrtává Povolit libovolné hlavičky pro usnadnění vývoje, případně přes "Přidat Hlavička" přesně specifikujete, co váš backend smí akceptovat.

5. Metody (Methods)

• Řídí, jaké HTTP akce smí frontend provést (GET, POST, PUT, DELETE). Opět lze zaškrtnout Povolit libovolnou metodu. Pokud ale tvoříte striktní REST API jen pro čtení (Read-Only), definujte zde pouze GET a OPTIONS. Zvyšuje to celkovou bezpečnost.

6. Exposed headers (Vystavené hlavičky)

• Zde nastavujete hlavičky posílané od serveru ke klientovi, které má prohlížeč dovolit vašemu JavaScriptu přečíst. Ve výchozím stavu prohlížeč zpřístupní pouze základní hlavičky (tzv. CORS-safelisted). Všechno ostatní, i když to server pošle, před frontendovým kódem skryje.

Metoda 2: Přes appsettings.json (Pro CI/CD a Enterprise)

Pokud stavíte enterprise CMS řešení, doporučuji držet konfiguraci v kódu. Modul plně reflektuje nastavení z konfigurace tenanta.

{
  "OrchardCore": {
    "OrchardCore_Cors": {
      "Policies": {
        "DefaultCorsPolicy": {
          "AllowedOrigins": [ "https://localhost:7153", "https://app.klient.cz" ],
          "AllowAnyMethod": true,
          "AllowAnyHeader": true,
          "AllowCredentials": true,
          "ExposedHeaders": [ "Content-Disposition" ],
          "IsDefaultPolicy": true
        }
      }
    }
  }
}