feat: cors improvement

[antoinemetifeu]

What problem this PR is trying to solve?

How can anyone reproduce the issue?

Which version of the module is impacted?

Description of this PR changes

[hschoenenberger]

@antoinemetifeu Quel problème essaies-tu de résoudre ?

[antoinemetifeu]

J'ai pas retrouvé mais on avait une issue ou un ticket support où la personne avait reglé un problème de cors comme cela

[antoinemetifeu]

Le x-prestashop-authorization était en minuscule. Le header vary: origin pour éviter des problèmes de cache sur les requêtes CORS https://security.stackexchange.com/questions/151590/vary-origin-response-header-and-cors-exploitation

[antoinemetifeu]

Donc l'intérêt reste à vérifier : est-ce qu'on peut mette "n'importe quoi" en header Access-Control-Allow-Headers ?

[matks]

Hello 😉 on a eu un retour usager de Checkout qui parlait de CORS PrestaShopCorp/ps_checkout#1395

et j'en avais fait un aussi dans Slack

[antoinemetifeu]

Hello 😉 on a eu un retour usager de Checkout qui parlait de CORS PrestaShopCorp/ps_checkout#1395

et j'en avais fait un aussi dans Slack

Voilà, le problème vient d'ici. Merci @matks

[hschoenenberger]

@antoinemetifeu Ok, ça ajoute un peu de sécu mais ça ne va pas résoudre nos problème de CORS, si ?

[antoinemetifeu]

Si on omet le fait qu'il a aussi mis Access-Control-Allow-Origin à * ça lui a reglé son problème de CORS.

Après, il y en a d'autres comme celui que je viens d'avoir au support : ""Access to fetch at 'XXX/index.php?controller=AdminAjaxV2PsAccounts&ajax=1&action=getContext&source=ps_accounts&refresh=true' from origin 'https://assets.prestashop3.com' has been blocked by CORS policy: Response to preflight request doesn't pass access control check: The 'Access-Control-Allow-Origin' header contains multiple values 'https://assets.prestashop3.com, https://www.sandbox.paypal.com/', but only one is allowed. Have the server send the header with a valid value."" et je ne suis même pas sûr qu'on puisse gérer ce cas.

Le Access-Control-Allow-Methods "GET,POST,OPTIONS" pourrait être utile à avoir

[matks]

et je ne suis même pas sûr qu'on puisse gérer ce cas.

Si pas gérable (ça arrive, on en a aussi sur PS Checkout) une solution alternative est de documenter / informer l'utilisateur du problème (une FAQ?) et du fait que c'est pas bien grave 😄

[sonarqubecloud]

Quality Gate passed

Issues
0 New issues
0 Accepted issues

Measures
0 Security Hotspots
0.0% Coverage on New Code
0.0% Duplication on New Code

See analysis details on SonarQube Cloud