From 12f005d561d4a1f36629176fe5bdd9390af97d4f Mon Sep 17 00:00:00 2001 From: hochan Lee Date: Sat, 14 Aug 2021 21:07:17 +0900 Subject: [ko] 교차 출처 리소스 공유 (CORS) 오번역 및 누락 부분 추가 (#1488) MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit * fix: 누락 및 오번역 수정 누락 : Preflight_requests_and_credentials 오번역: Credentialed requests and wildcards * fix: flaws --- files/ko/web/http/cors/index.html | 30 ++++++++++++++++++++---------- 1 file changed, 20 insertions(+), 10 deletions(-) (limited to 'files/ko') diff --git a/files/ko/web/http/cors/index.html b/files/ko/web/http/cors/index.html index fe96ed2ea2..95199b794f 100644 --- a/files/ko/web/http/cors/index.html +++ b/files/ko/web/http/cors/index.html @@ -6,7 +6,7 @@ tags: - HTTP - Same-origin policy - Security - - 'l10n:priority' + - l10n:priority - 교차 출처 - 동일 출처 translation_of: Web/HTTP/CORS @@ -17,7 +17,7 @@ translation_of: Web/HTTP/CORS

교차 출처 요청의 예시: https://domain-a.com의 프론트 엔드 JavaScript 코드가 {{domxref("XMLHttpRequest")}}를 사용하여 https://domain-b.com/data.json을 요청하는 경우.

-

보안 상의 이유로, 브라우저는 스크립트에서 시작한 교차 출처 HTTP 요청을 제한합니다. 예를 들어, XMLHttpRequest와 Fetch API는 동일 출처 정책을 따릅니다. 즉, 이 API를 사용하는 웹 애플리케이션은 자신의 출처와 동일한 리소스만 불러올 수 있으며, 다른 출처의 리소스를 불러오려면 그 출처에서 올바른 CORS 헤더를 포함한 응답을 반환해야 합니다.

+

보안 상의 이유로, 브라우저는 스크립트에서 시작한 교차 출처 HTTP 요청을 제한합니다. 예를 들어, XMLHttpRequest와 Fetch API는 동일 출처 정책을 따릅니다. 즉, 이 API를 사용하는 웹 애플리케이션은 자신의 출처와 동일한 리소스만 불러올 수 있으며, 다른 출처의 리소스를 불러오려면 그 출처에서 올바른 CORS 헤더를 포함한 응답을 반환해야 합니다.

CORS 체제는 브라우저와 서버 간의 안전한 교차 출처 요청 및 데이터 전송을 지원합니다. 최신 브라우저는 XMLHttpRequest 또는 Fetch와 같은 API에서 CORS를 사용하여 교차 출처 HTTP 요청의 위험을 완화합니다.

@@ -25,7 +25,7 @@ translation_of: Web/HTTP/CORS

모든 사람이요, 진짜로.

-

명확히 말하자면, 이 글은 웹 관리자, 서버 개발자 그리고 프론트엔드 개발자를 위한 것입니다. 최신 브라우저는 헤더와 정책 집행을 포함한 클라이언트 측 교차 출처 공유를 처리합니다. 그러나 CORS 표준에 맞춘다는 것은 서버에서도 새로운 요청과 응답 헤더를 처리해야 한다는 것입니다. 서버 개발자에게는 (PHP 코드 조각과 함께 하는) 서버 관점의 교차 출처 공유를 다루고 있는 다른 글로 보충하면 도움이 될 것입니다.

+

명확히 말하자면, 이 글은 웹 관리자, 서버 개발자 그리고 프론트엔드 개발자를 위한 것입니다. 최신 브라우저는 헤더와 정책 집행을 포함한 클라이언트 측 교차 출처 공유를 처리합니다. 그러나 CORS 표준에 맞춘다는 것은 서버에서도 새로운 요청과 응답 헤더를 처리해야 한다는 것입니다. 서버 개발자에게는 (PHP 코드 조각과 함께 하는) 서버 관점의 교차 출처 공유를 다루고 있는 다른 글로 보충하면 도움이 될 것입니다.

어떤 요청이 CORS를 사용하나요?

@@ -53,7 +53,7 @@ translation_of: Web/HTTP/CORS

교차 출처 리소스 공유가 동작하는 방식을 보여주는 세 가지 시나리오를 제시하겠습니다. 모든 예제는 지원하는 브라우저에서 교차 출처 요청을 생성할 수 있는 {{domxref("XMLHttpRequest")}}를 사용합니다.

-

서버 관점의 교차 출처 리소스 공유에 대한 논의는 (PHP 코드와 함께 하는) 서버 사이드 접근 제어 (CORS) 문서에서 확인할 수 있습니다.

+

서버 관점의 교차 출처 리소스 공유에 대한 논의는 (PHP 코드와 함께 하는) 서버 사이드 접근 제어 (CORS) 문서에서 확인할 수 있습니다.

단순 요청(Simple requests)

@@ -111,7 +111,7 @@ xhr.send();

클라이언트와 서버간에 간단한 통신을 하고, CORS 헤더를 사용하여 권한을 처리합니다.

-

+

이 경우 브라우저가 서버로 전송하는 내용을 살펴보고, 서버의 응답을 확인합니다.

@@ -158,7 +158,7 @@ xhr.send('<person><name>Arun</name></person>');위의 예제는 POST 요청과 함께 함께 보낼 XML body를 만듭니다. 또한 비표준 HTTP Ping-Other 요청 헤더가 설정됩니다. 이러한 헤더는 HTTP/1.1의 일부가 아니지만 일반적으로 웹 응용 프로그램에 유용합니다. Content-Type 이 application/xml이고, 사용자 정의 헤더가 설정되었기 때문에 이 요청은 preflighted 처리됩니다.

-

+

(참고: 아래 설명 된 것처럼 실제 POST 요청에는 Access-Control-Request-* 헤더가 포함되지 않습니다. OPTIONS 요청에만 필요합니다.)

@@ -290,7 +290,7 @@ function callOtherDomain() {

7행은 쿠키와 함께 호출하기위한 {{domxref("XMLHttpRequest")}} 의 플래그를 보여줍니다. 이 플래그는 withCredentials 라고 불리며 부울 값을 갖습니다. 기본적으로 호출은 쿠키 없이 이루어집니다. 이것은 simple GET request이기 때문에 preflighted 되지 않습니다. 그러나 브라우저는 {{HTTPHeader("Access-Control-Allow-Credentials")}}: true 헤더가 없는 응답을 거부합니다. 따라서 호출된 웹 컨텐츠에 응답을 제공하지 않습니다.

-

+

클라이언트와 서버간의 통신 예제는 다음과 같습니다.

@@ -326,9 +326,19 @@ Content-Type: text/plain

10행에는 http://bar.other의 컨텐츠를 대상으로 하는 쿠키가 포함되어 있습니다. 하지만 17행의 {{HTTPHeader("Access-Control-Allow-Credentials")}}: true 로 응답하지 않으면, 응답은 무시되고 웹 컨텐츠는 제공되지 않습니다.

-

자격증명 요청 및 와일드카드(Credentialed requests and wildcards)

+

실행 전 요청 및 자격 증명

-

credentialed request 에 응답할 때 서버는 Access-Control-Allow-Origin 헤더 "*" 와일드카드를 사용하는 대신에 반드시 에 값을 지정해야 합니다.

+

CORS 실행 전 요청에는 자격 증명이 포함되지 않아야 합니다. 실행 전 요청에 대한 응답은 Access-Control-Allow-Credentials: true를 지정하여 자격 증명으로 실제 요청을 수행할 수 있음을 나타내야 합니다.

+ +
+

참고

+

일부 엔터프라이즈 인증 서비스는 {{SpecName("Fetch","#cors-protocol-and-credentials")}} 사양을 위반하여 실행 전 요청에서 TLS 클라이언트 인증서를 보내도록 요구합니다.

+

Firefox 87에서는 기본 설정을 지정하여 이 비준수 동작을 활성화할 수 있습니다: network.cors_preflight.allow_client_cert을 true로 설정 ({{bug(1511151)}}). Chromium 기반 브라우저는 현재 항상 CORS 실행 전 요청에서 TLS 클라이언트 인증서를 보냅니다(Chrome bug 775438).

+
+ +

자격증명 요청 및 와일드카드(Credentialed requests and wildcards)

+ +

자격 증명 요청에 응답할 때 서버는 반드시 "*" 와일드카드를 지정하는 대신 Access-Control-Allow-Origin 헤더 값에 출처를 지정해야 합니다.

위 예제의 요청 헤더에 Cookie 헤더가 포함되어 있기 때문에 Access-Control-Allow-Origin 헤더의 값이 "*"인 경우 요청이 실패합니다. 위 요청은 Access-Control-Allow-Origin 헤더가 "*" 와일드 카드가 아니라 "http://foo.example" 본래 주소이기 때문에 자격증명 인식 컨텐츠는 웹 호출 컨텐츠로 리턴됩니다.

@@ -338,7 +348,7 @@ Content-Type: text/plain

CORS 응답에 설정된 쿠키에는 일반적인 third-party cookie 정책이 적용됩니다. 위의 예제는 foo.example에서 페이지를 불러지만 20행의 쿠키는 bar.other 가 전송합니다. 때문에 사용자의 브라우저 설정이 모든 third-party cookies를 거부하도록 되어 있다면, 이 쿠키는 저장되지 않습니다.

-

HTTP 응답 헤더

+

HTTP 응답 헤더

이 섹션에서는 Cross-Origin 리소스 공유 명세에 정의된 대로 서버가 접근 제어 요청을 위해 보내는 HTTP 응답 헤더가 나열되어 있습니다. The previous section gives an overview of these in action.

-- cgit v1.2.3-54-g00ecf