[AJAX] AJAX cross domain POST

Version imprimable

06/02/2013, 16h27
youmpa

[AJAX] AJAX cross domain POST

Salut à tous,
J'essai de faire une requete en POST en javascript entre deux site.
J'ai vu qu'il fallait notament modifier les entêtes http côté site qui reçoit la requête seulement, quand j'envoi la requete, dans la réponse les entête ne sont pas modifié (et donc j'ai accès refusé). Par contre si j'envoi en GET les entêtes sont bien modifiées. Je voulais savoir si il peut y avoir une configuration serveur qui me refuse l'accès avant que ça n'arrive à l'endroit ou je modifit les entête.
Je précise que c'est des sites Drupal and Serveur ngnix.
Merci de ne pas me répondre utilise le GET au lieu de POST.

Utilise GET :D
Non je blague ... ta requête part d'un HTML client qui appelle
tout bêtement un PHP sur un site exactement comme si ton HTML
venait de valider un formulaire (FORM).

Rien d'autre a dire ! donc utilises un minimum vital, par exemple

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
<?php
//===blablabla
?>
<script type="text/javascript">
function maFonctionAjax(Mavariable)
{
  var MonAjax;
  if (window.XMLHttpRequest){ MonAjax = new XMLHttpRequest();}
  else if (window.ActiveXObject) {MonAjax = new ActiveXObject('Microsoft.XMLHTTP');}
  else {
    alert("Votre navigateur n'est pas adapté pour faire des requêtes AJAX..."); 
    MonAjax = false;   }
  MonAjax.open('POST',"url_de ton site/xx/tonphp.php",true);
  MonAjax.onreadystatechange = function()
  {
      if (MonAjax.readyState == 4 && MonAjax.status == 200)
      {
          document.getElementById('TonDiv').innerHTML = MonAjax.responseText;}
      }
  }
  MonAjax.setRequestHeader('Content-type','application/x-www-form-urlencoded');
  MonAjax.send('Mavariable='+Mavariable);                  
}
 maFonctionAjax("truc");
}
</script>

Voila
Christele

06/02/2013, 16h59
youmpa

C'était peut être pas claire mais c'est sur du cross domain, et j'ai une erreur du type 403 forbiden
XMLHttpRequest cannot load http://mon-server.com. Origin http://client.com is not allowed by Access-Control-Allow-Origin.
06/02/2013, 17h27
Invité

Oui il faudrait que tu ais le html sur ton micro,
et non pas venant d'un autre serveur ! car domaine a domaine
= piratage facile !
Christele
06/02/2013, 17h30
Bovino

Il faut dire aussi que tes explications sont assez vagues et manquent cruellement de code pouvant indiquer où se trouve ton erreur...

Citation:

J'ai vu qu'il fallait notament modifier les entêtes http côté site qui reçoit la requête seulement

Non, ce n'est pas exactement ça !
Il faut surtout que ton serveur indique que les requêtes venant d'un autre domaine sont autorisées en envoyant un header spécifique.

Code:

Access-Control-Allow-Origin: http://example.com

par exemple.
06/02/2013, 17h42
Invité

C'est pas nouveau, mais sur un forum on en apprend tout les jours !
Merci a toi
Christele

1 pièce(s) jointe(s)

Ok donc côté client :
le js :

Code:

1
2
3
4
5
6
7
8
9
10
11
var xdr = null;
if (window.XDomainRequest) {
	xdr = new XDomainRequest(); 
} else if (window.XMLHttpRequest) {
	xdr = new XMLHttpRequest(); 
} else {
	alert("Votre navigateur ne gère pas l'AJAX cross-domain !");
}
xdr.open("POST",  Drupal.settings.timer_developer_client_up.url
	+ '/timer_developper/server/test',true);
xdr.send('nid='+Drupal.settings.timer_developer_client_up.nid);

côté serveur :

Code:

1
2
3
4
5
 header('Access-Control-Allow-Origin:*');
  header('Access-Control-Allow-Credentials:true');
  header('Access-Control-Allow-Methods:POST');
  header('Access-Control-Allow-Headers:Origin,cache-control,content-type');
  header('Content-Type:text/html; charset=utf-8');

j'ai mis carrement * pour l'acess origin
J'ai mis en pièce jointe aussi les réponses en POST & en GET

Citation:

Envoyé par christele_r

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
<?php
//===blablabla
?>
<script type="text/javascript">
function maFonctionAjax(Mavariable)
{
  var MonAjax;
  if (window.XMLHttpRequest){ MonAjax = new XMLHttpRequest();}
  else if (window.ActiveXObject) {MonAjax = new ActiveXObject('Microsoft.XMLHTTP');}
  else {
    alert("Votre navigateur n'est pas adapté pour faire des requêtes AJAX..."); 
    MonAjax = false;   }
  MonAjax.open('POST',"url_de ton site/xx/tonphp.php",true);
  MonAjax.onreadystatechange = function()
  {
      if (MonAjax.readyState == 4 && MonAjax.status == 200)
      {
          document.getElementById('TonDiv').innerHTML = MonAjax.responseText;}
      }
  }
  MonAjax.setRequestHeader('Content-type','application/x-www-form-urlencoded');
  MonAjax.send('Mavariable='+Mavariable);                  
}
 maFonctionAjax("truc");
}
</script>

Voila
Christele

ça me dit quelquechose, ça ressemble etrangement a ce que je veux faire

06/02/2013, 18h00
Bovino

C'est pas dans ton code PHP qu'il faut mettre les header, parce que là, tu t'es déjà fait jeter par le serveur ! :aie:
Alors je ne saurais te dire pour Nginx, mais pour Apache, c'est dans le .htaccess.

EDIT : Ah ben non, après vérification, il semble que ce soit effectivement possible en mettant les header en PHP... :oops:
06/02/2013, 18h05
youmpa

Oui oui c'est ce que je lisais (disais) que normalement header() en php change les entête http, après je ne sais pas (et je trouve pas grand chose sur le net) si ngnix prend le dessus quand même, ou quand j'arrive à l'endroit ou je modifit l'entete c'est déjà trop tard, à priori je n'ai pas vus passé non plus de topic sur le sujet (probématique de chargement etc)
06/02/2013, 18h58
Invité

Citation:

Envoyé par Bovino

C'est pas dans ton code PHP qu'il faut mettre les header, parce que là, tu t'es déjà fait jeter par le serveur ! :aie:
Alors je ne saurais te dire pour Nginx, mais pour Apache, c'est dans le .htaccess.
EDIT : Ah ben non, après vérification, il semble que ce soit effectivement possible en mettant les header en PHP... :oops:

Mon Ami Bovino va te mettre d'accord avec lui :D

http://www.developpez.net/forums/d10...ne-fonctionne/

A++ et :fleur:
Christele
06/02/2013, 20h24
youmpa

mouai.. j'y est crus aussi mais ça n'est pas vraiment le même cas puisque lui il arrive à voir dans la réponse les entête modifié, or moi ça ne me les renvoi même pas.
Au passage merci de votre aide & rapde en plus!
11/02/2013, 11h28
youmpa

J'ai entendu dire que chrome refuse le cross domain......
11/02/2013, 14h39
Invité

Citation:

Envoyé par youmpa

J'ai entendu dire que chrome refuse le cross domain......

Arhhhhh... nous voila mal parti ... que vient faire le navigateur dans cette affaire, ce sont les serveurs qui se protégent ;)
A++
Christele
11/02/2013, 14h42
Bovino

Citation:

J'ai entendu dire que chrome refuse le cross domain....

Ecoute ailleurs ! :aie:
http://caniuse.com/#search=cors
11/02/2013, 15h50
thelvin

Edit : apparemment, indiquer le Content-Type est obligatoire dans une requête POST.
Non, je ne comprends pas en quoi ça peut gêner l'envoi des headers, mais peut-être qu'ils ne sont envoyés que dans certaines conditions.

une possibilité serait que, en l'absence de Content-Type, la requête soit automatiquement preflighted, et donc précédée d'une requête OPTIONS au lieu de directement POST.
Cette requête OPTIONS serait mal comprise par le serveur, et ne passerait pas par la page PHP prévue, faisant une réponse étrange et c'est ça dont on verrait les headers.
Ces headers n'autorisant pas la requête, le navigateur n'essaie même pas de faire le POST, et remonte directement l'erreur de permission non accordée. Raison pour laquelle à aucun moment le serveur n'a eu l'occasion d'envoyer les headers d'autorisation : on est jamais passé sur le bout de code qui l'envoie.

Citation:

Envoyé par christele_r

Arhhhhh... nous voila mal parti ... que vient faire le navigateur dans cette affaire, ce sont les serveurs qui se protégent ;)

Bah, les serveurs disent chacun de leur côté au navigateur s'ils acceptent la communication cross-domain, mais c'est le navigateur qui peut la faire vraiment ou pas, donc c'est lui qui décide.
Évidemment, pour ne pas que son utilisateur se fasse mettre dedans, il est censé respecter la volonté du site contacté par un autre.
11/02/2013, 18h18
youmpa

Merci pour vos réponses!

Citation:

Envoyé par Bovino

Ecoute ailleurs ! :aie:
http://caniuse.com/#search=cors

Pourtant c'était sur le chat de developpez :roll:

J'ai essayer de mettre OPTIONS & POST dans les allowed method
Après comme tu me dis que ce ne passe même pas dans la page concernée je peut toujour essayer de mettre ça à la bourrin dans l'index.php (je suis sous Drupal pour rappel, à prioris j'ai bien regarder ça n'est pas Drupal qui m'empêche, & que je me mette en début ou fin de bootstrap c'est la même).
Mais sinon toi que préconise tu d'essayer? Je dois mettre un content-type dans le script qui fait l'appel ajax?
Y a til à votre conaissance une configuration de serveur (je suis sous ngnix pour rapel) qui bypass le php?
11/02/2013, 18h38
thelvin

Citation:

Envoyé par youmpa

J'ai essayer de mettre OPTIONS & POST dans les allowed method
Après comme tu me dis que ce ne passe même pas dans la page concernée je peut toujour essayer de mettre ça à la bourrin dans l'index.php (je suis sous Drupal pour rappel, à prioris j'ai bien regarder ça n'est pas Drupal qui m'empêche, & que je me mette en début ou fin de bootstrap c'est la même).

De toute façon, PHP c'est pas mon truc.

Citation:

Envoyé par youmpa

Mais sinon toi que préconise tu d'essayer? Je dois mettre un content-type dans le script qui fait l'appel ajax?

Oui. Toujours, quand on fait un POST. Ce n'est pas optionnel.

Bon je sais pas trop quoi dire..... j'ai trouvé une solution, faire ma requete via jquery

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
$.ajax({
    type: 'POST',
    url:  Drupal.settings.timer_developer_client_up.url
	+ '/timer_developper/server/test',
    crossDomain: true,
    data: '{"some":"json"}',
    dataType: 'json',
    success: function(responseData, textStatus, jqXHR) {
        var value = responseData;
        alert(responseData);
    },
    error: function (responseData, textStatus, errorThrown) {
        alert('POST failed.');
    }
});

côté serveur je n'ai besoin que de

Code:

header('Access-Control-Allow-Origin: http://test.com');;

12/02/2013, 14h36
Bovino

Ta réponse doit être du JSON ?
Dans ce cas, pas besoin de passer par AJAX, une simple création de script suffit, c'est d'ailleurs comme ça que fonctionne jQuery et c'est pour ça que ça fonctionne avec.
12/02/2013, 14h55
youmpa

tu peut préciser? un exemple ou article à lire?