设置 Access-Control-Allow-Origin 可能存在的安全问题

【问题标题】：Possible security issues of setting Access-Control-Allow-Origin设置 Access-Control-Allow-Origin 可能存在的安全问题
【发布时间】：2013-02-05 10:08:24
【问题描述】：

我看到设置“*”通配符是安全风险，即

Access-Control-Allow-Origin: "*"

我想知道在设置具体域时是否存在任何安全风险，即

Access-Control-Allow-Origin: http://www.example.com

【问题讨论】：

Frits van Campen 谢谢可能的浏览器问题是我所担心的，正如你所说，据我所知，这不是值得担心的事情。很棒的博文，再次感谢。

标签： javascript ajax apache iis xmlhttprequest

【解决方案1】：

CORS 标头通常用于 JavaScript AJAX 请求。浏览器有一个内置的安全机制，除非它们通过设置这些 CORS 标头明确允许，否则不允许您查询其他域。

确实没有太大的安全风险。无论如何，您始终可以发送恶意请求。浏览器只是集体决定玩得好。

需要注意的一点是，您不一定总是想发送

Access-Control-Allow-Origin: http://www.example.com

标题。这可能会将人们引导到使用您的 API 的所有域。我的建议是您只在必要时才发出标头，即。您会收到来自白名单域的OPTIONS 请求。

我最近写了一篇关于这个的博客文章：http://fritsvancampen.wordpress.com/2013/02/03/cross-site-origin-requests-aka-cross-origin-resource-sharing/

【讨论】：