From aa98eb6866503dcdb164f05220ff138e640be3f1 Mon Sep 17 00:00:00 2001 From: bruno Date: Wed, 28 Oct 2026 13:45:30 -0400 Subject: [PATCH] CORS alertes (fusion #69) : allowlist /api/events prod+dev --- app/main.py | 10 ++++++++-- 1 file changed, 8 insertions(+), 2 deletions(-) diff --git a/app/main.py b/app/main.py index 95da1c7..124a365 100644 --- a/app/main.py +++ b/app/main.py @@ -438,10 +438,16 @@ class DracoAlertesCorsMiddleware(BaseHTTPMiddleware): if request.url.path != "/api/events": return await call_next(request) from app.config import resoudre_urls_draco + from app.recherche import DEV_ORIGINS, PROD_ORIGINS, origin_of urls = resoudre_urls_draco(request.headers.get("host")) - soeurs = {urls.sso_url, urls.flowdeck_url, urls.tiktak_url, - urls.public_url} + # Correctif CORS alertes (fusion #69, 2026-10-28) : comme + # pour /api/search, les origines sœurs prod ET dev sont + # listées explicitement — l'ancienne allowlist (environnement + # résolu seul) refusait les pages de l'autre environnement. + soeurs = ({origin_of(u) for u in (urls.sso_url, urls.flowdeck_url, + urls.tiktak_url, urls.public_url)} + | set(PROD_ORIGINS) | set(DEV_ORIGINS)) - {None} origine = request.headers.get("origin", "") if origine not in soeurs: return await call_next(request)