CORS alertes (fusion #69) : allowlist /api/events prod+dev

2026-10-28 13:45:30 -04:00
parent 409e67d57b
commit aa98eb6866
1 changed files with 8 additions and 2 deletions
@@ -438,10 +438,16 @@ class DracoAlertesCorsMiddleware(BaseHTTPMiddleware):
        if request.url.path != "/api/events":
            return await call_next(request)
        from app.config import resoudre_urls_draco
+        from app.recherche import DEV_ORIGINS, PROD_ORIGINS, origin_of

        urls = resoudre_urls_draco(request.headers.get("host"))
-        soeurs = {urls.sso_url, urls.flowdeck_url, urls.tiktak_url,
-                  urls.public_url}
+        # Correctif CORS alertes (fusion #69, 2026-10-28) : comme
+        # pour /api/search, les origines sœurs prod ET dev sont
+        # listées explicitement — l'ancienne allowlist (environnement
+        # résolu seul) refusait les pages de l'autre environnement.
+        soeurs = ({origin_of(u) for u in (urls.sso_url, urls.flowdeck_url,
+                                          urls.tiktak_url, urls.public_url)}
+                  | set(PROD_ORIGINS) | set(DEV_ORIGINS)) - {None}
        origine = request.headers.get("origin", "")
        if origine not in soeurs:
            return await call_next(request)