为基于令牌的 Web 服务启用 CORS 是否安全？答案

【问题标题】：Is it safe to enable CORS for a Token based webservice?为基于令牌的 Web 服务启用 CORS 是否安全？
【发布时间】：2016-06-14 15:30:37
【问题描述】：

我正在编写一个 C# WebAPI 2 网络服务，该服务使用来自此资源的示例应用程序的基于令牌的身份验证：http://www.asp.net/web-api/overview/security/individual-accounts-in-web-api

我希望用户能够从他们自己的 HTML 网页访问网络服务。

为使用基于令牌的身份验证的本地登录 Web 服务的所有域启用 CORS 是否安全？

【问题讨论】：

【解决方案1】：

没有其他可能。否则，您的用户总是会遇到 CORS 问题。我会启用 CORS。

【讨论】：

【解决方案2】：

“为所有域启用 CORS”会让我担心。您应该有一个请求可以来自的受信任域列表。这就是它的工作方式。

【讨论】：