当前位置：首页 > 科技 > 软件

CORS 跨域工作机制与安全防范

来源：责编：时间：2023-12-20 17:46:47 170观看

导读随着前后端分离架构的逐渐普及，CORS跨域技术被广泛应用在Web应用中，以便不同域之间资源的互相访问。一、CORS工作机制详解CORS的全称是跨域资源共享（Cross-Origin Resource Sharing），允许浏览器向跨域服务器发起XMLHttpReq

随着前后端分离架构的逐渐普及，CORS跨域技术被广泛应用在Web应用中，以便不同域之间资源的互相访问。

一、CORS工作机制详解

CORS的全称是跨域资源共享（Cross-Origin Resource Sharing），允许浏览器向跨域服务器发起XMLHttpRequest请求。主要机制分为两种调用流程：

1、简单请求

浏览器直接发出实际请求，无需预检。简单请求满足以下条件：

使用下列方法之一：GET、HEAD、POST
只能设置以下头部：Accept、Accept-Language、Content-Language、Content-Type（只限于application/x-www-form-urlencoded、multipart/form-data、text/plain三种类型）

如果满足这两个条件，浏览器会自动在请求头中添加 Origin 字段，发起简单请求，服务器根据 Origin 划定的来源域，决定是否给予响应。

2、预检请求

如果不满足简单请求的条件，浏览器会自动发起预检请求（OPTIONS 请求），询问服务器请求是否被允许。如：

浏览器发送 OPTIONS 请求，请求头中包含 Origin、Access-Control-Request-Method 和 Access-Control-Request-Headers 等信息
服务器响应 OPTIONS 请求，响应头中包含 Access-Control-Allow-Origin、Access-Control-Allow-Methods 和 Access-Control-Allow-Headers 等信息
浏览器对响应头信息进行确认和缓存
浏览器发送实际请求。请求头中自动添加 Origin 字段。
服务器进行 Access-Control-Allow-Origin 校验，并响应实际请求

二、CORS安全风险详解

CORS 的机制有一定复杂性，也会有藏着一些安全风险。主要包括：

1、CORS误配置风险

如果服务器端CORS配置错误，可能会使得本不应该访问的恶意网站得到数据访问权限。这属于典型的CORS误配置问题。

2、CSRF跨站请求伪造风险

攻击者可利用CORS实现CSRF攻击。例如恶意网站利用CORS请求接口获取用户数据或执行增删改操作。这属于利用CORS实现CSRF攻击的风险。

3、信息泄露风险

攻击者可以利用CORS的一些特性获取敏感信息。例如根据CORS头部判断网站架构，根据错误信息判断后台技术栈等。

4、报文劫持风险

攻击者可在客户端通过JS劫持CORS报文，改变请求参数、添加非法头部甚至修改响应内容。这属于CORS请求被劫持的风险。

5、浏览器缓存被污染风险

恶意网站可向有缓存的CORS接口大量发送预检请求，导致浏览器缓存被其预检选项所污染，进而影响其他正常CORS请求。

三、防范策略

防范CORS风险的关键在于从源头加强接口访问控制，严格限制允许跨域请求的来源，具体策略包括：

严格限制允许跨域请求的源（Origin）。生产环境一般只允许指定的域名请求，不开放。
对安全性要求高的接口，禁用CORS跨域访问。敏感接口不允许异域调用。
验证Origin请求头防止它被欺骗。攻击者可能伪造这个字段。
使用CSRF防护机制，比如校验HTTP Referer 或在请求中设置token进行校验。
接口响应中避免返回敏感信息。对错误信息进行遮蔽处理。
在服务端校验CORS的请求头，防止其被客户端篡改。
对跨域预检请求的缓存时长、次数/频率进行限制。
使用CSP防护CORS跨域请求遭到劫持的风险。
启用服务器端的CORS中间件，规范CORS的实现。

CORS作为一个具有明确边界访问控制的跨域解决方案，应严格限制在业务必需的场景中使用。在启用CORS的基础上，采取必要的安全防护措施，以降低相关风险。

本文链接：http://www.28at.com/showinfo-26-50756-0.htmlCORS 跨域工作机制与安全防范

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com

上一篇：从SDLC 到 DevOps，再到 NoOps

下一篇：面试官：什么是虚拟线程？为什么要有虚拟线程？

标签：

热门焦点

影音体验是真的强简单聊聊iQOO Pad

大公司的好处就是产品线丰富，非常细分化的东西也能给你做出来，例如早先我们看到了新的vivo Pad2，之后我们又在iQOO Neo8 Pro的发布会上看到了iQOO的首款平板产品iQOO Pad。虽
Golang 中的 io 包详解：组合接口

io.ReadWriter// ReadWriter is the interface that groups the basic Read and Write methods.type ReadWriter interface { Reader Writer}是对Reader和Writer接口的组合，
不容错过的MSBuild技巧，必备用法详解和实践指南

一、MSBuild简介MSBuild是一种基于XML的构建引擎，用于在.NET Framework和.NET Core应用程序中自动化构建过程。它是Visual Studio的构建引擎，可在命令行或其他构建工具中使用
分享六款相见恨晚的PPT模版网站, 祝你做出精美的PPT!

1、OfficePLUSOfficePLUS网站旨在为全球Office用户提供丰富的高品质原创PPT模板、实用文档、数据图表及个性化定制服务。优点：OfficePLUS是微软官方网站，囊括PPT模板、Word模
10天营收超1亿美元，《星铁》比《原神》差在哪？

来源：伯虎财经作者：陈平安即便你没玩过《原神》，你一定听说过的它的大名。恨它的人把《原神》开服那天称作是中国游戏史上最黑暗的一天，有粉丝因为索尼在PS平台上线《原神》，怒而
三星电子Q2营收60万亿韩元存储业务营收同比仍下滑超过50%

7月27日消息，据外媒报道，从三星电子所发布的财报来看，他们主要利润来源的存储芯片业务在今年二季度仍不乐观，营收同比仍在大幅下滑，所在的设备解决方案
荣耀Magicbook V 14 2021曙光蓝版本正式开售，拥有触摸屏

荣耀 Magicbook V 14 2021 曙光蓝版本正式开售，搭载 i7-11390H 处理器与 MX450 显卡，配备 16GB 内存与 512GB SSD，重 1.48kg，厚 14.5mm，具有 1.5mm 键盘键程、
联想小新Pad Pro 12.6将要推出，搭载高通骁龙 870 处理器

联想小新Pad Pro 12.6将于秋季新品会上推出，官方按照惯例直接在发布会前给出了机型的所有参数。联想小新 Pad Pro 12.6 将搭载高通骁龙 870 处理器，重量为 5
电博会上海尔智家模拟500平大平层，还原生活空间沉浸式体验

电博会为了更好地让参展观众真正感受到智能家居的绝妙之处，海尔智家的程传岭先生同样介绍了展会上海尔智家的模拟500平大平层，还原生活空间沉浸式体验。程传