Chrome HTTPS Everywhere: заголовок «Access-Control-Allow-Origin» имеет значение, которое не равно предоставленному источнику

Question

Что-то не так с реализацией расширения HTTPS Everywhere для Chrome. Это мешает мне использовать сайты, которые используют AJAX для загрузки контента. Например, если я пытаюсь использовать какой-либо сайт, на котором есть встроенное приложение службы поддержки Zendesk.

Когда я смотрю в консоли, я вижу эту ошибку каждый раз:

The 'Access-Control-Allow-Origin' header has a value that is not equal to the supplied origin

Я люблю это расширение в целом, но это довольно раздражает. Любые идеи, что может быть причиной этого и как это исправить, не отключая расширение полностью?

Answer 1

Расширение не сломано, оно делает именно то, что должно, но сайт, вероятно, не был написан или протестирован в среде HTTPS. Заголовки Access-Control-Allow-Origin являются частью спецификации CORS . Это позволяет веб-сайту сообщать браузеру, с какими серверами веб-сайт ожидает связи. Я предполагаю, что сайт отправляет что-то вроде этого:

Access-Control-Allow-Origin: http://foo.example

вместо:

Access-Control-Allow-Origin: https://foo.example

Таким образом, расширение пытается заставить все соединения проходить через HTTPS, но запросы блокируются, поскольку только политика HTTP разрешает только HTTP-запросы.