Exposition - CORS

Question 1

Qu’est-ce que les CORS ?

Answer 1

Mécanisme de sécurité navigateur qui contrôle les requêtes cross-origin pour éviter l’accès non autorisé à une API.

Question 2

Quel problème CORS résout-il ?

Answer 2

Il empêche qu’un site tiers envoie des requêtes HTTP vers ton API sans autorisation, limitant les risques de CSRF et d’accès illégitime aux ressources.

Question 3

Quand CORS s’active-t-il ?

Answer 3

Lorsqu’une requête frontend est envoyée vers un backend situé sur une autre origine (domaine, port ou protocole différents).

Question 4

Qu’est-ce qu’une “preflight request” ?

Answer 4

Requête OPTIONS envoyée automatiquement par le navigateur pour vérifier si l’origine, la méthode et les headers sont autorisés par l’API.

Question 5

Comment le serveur autorise une origine ?

Answer 5

En renvoyant des en-têtes CORS (Access-Control-Allow-Origin, Allowed-Methods, etc.) indiquant explicitement les origines et méthodes permises.

Question 6

Que se passe-t-il si CORS n’est pas configuré ?

Answer 6

Le navigateur bloque la réponse même si le backend a bien répondu, provoquant une erreur CORS côté console frontend.

Question 7

Pourquoi configurer CORS côté backend ?

Answer 7

Parce que la validation des origines ne peut pas être déléguée au frontend : seule l’API détermine qui peut y accéder.

Question 8

Configuration CORS sans Spring Security ?

Answer 8

Utilisation d’un WebMvcConfigurer global pour définir :

origines autorisées

méthodes autorisées

mapping des routes à protéger

Question 9

Pourquoi la config WebMvcConfigurer est ignorée avec Spring Security ?

Answer 9

Parce que Spring Security implémente sa propre couche CORS, qui prend la priorité sur la configuration MVC standard.

Question 10

Configuration CORS avec Spring Security ?

Answer 10

Déclaration d’un bean CorsConfigurationSource qui définit :
- origin(s) autorisée(s)
- méthodes HTTP permises
- headers autorisés
- scope des routes concernées

Question 11

Où placer la configuration CORS avec Spring Security ?

Answer 11

Dans la classe SecurityConfig, au sein du package security.

Question 12

CORS et sécurité backend : rôle principal ?

Answer 12

Contrôler qui peut accéder à l’API, et avec quelles méthodes, afin de protéger les endpoints exposés.