什麼是 CORS？

過去，當網際網路技術剛出現時，會發生跨站請求偽造 (CSRF) 問題。發生該問題時，虛假的用戶端請求從受害者的瀏覽器傳送到另一個應用程式。

例如，受害者登入其銀行應用程式。然後被誘騙在新的瀏覽器標籤中載入外部網站。然後，外部網站使用受害者的 cookie 憑證並將資料轉送給銀行應用程式，假裝是受害者。這樣未經授權的使用者便能夠存取銀行應用程式。

為了防止此類 CSRF 問題，所有瀏覽器現在都實作同源政策。

同源政策

如今，瀏覽器強制用戶端只能向與用戶端 URL 具有相同來源的資源傳送請求。用戶端 URL 的協定、連接埠和主機名稱都應該與它請求的伺服器相符。

以下以一些 URL 為例，比較它們與用戶端 URL http://store.aws.com/dir/page.html 的來源情況。

URL	성과	原因
http://store.aws.com/dir2/new.html	同源	只是路徑不同
http://store.aws.com/dir/inner/other.html	同源	只是路徑不同
https://store.aws.com/page.html	不同源	協定不同
http://store.aws.com:81/dir/page.html	不同源	連接埠不同 (http:// 的連接埠預設為 80)
http://news.aws.com/dir/page.html	不同源	不同主機

因此，同源政策非常安全，但對於實際使用案例而言不夠靈活。

跨來源資源共用 (CORS) 是對同源政策的擴展。您需要它來與外部第三方共用授權資源。例如，當您想要從公有或授權的外部 API 中提取資料時，您需要 CORS。如果您希望允許授權的第三方存取您自己的伺服器資源，您也需要 CORS。

在 HTTP 中，請求方法是用戶端希望伺服器執行的資料操作。常見的 HTTP 方法包括 GET、POST、PUT 和 DELETE。

在常規的跨來源資源共用 (CORS) 互動中，瀏覽器會同時傳送請求和存取控制標頭。這些請求通常是 GET 資料請求，這類請求被認為是低風險的。

然而，一些 HTTP 請求被認為是複雜的，在請求實際傳送之前需要伺服器確認。預核准程序稱為預檢請求。

複雜的跨來源請求

如果跨來源請求使用以下任何一項，則屬於複雜請求：

• GET、POST 或 HEAD 之外的方法
• Accept-Language、Accept 或 Content-Language 之外的標頭
• multipart/form-data、application/x-www-form-urlencoded 或 text/plain 之外的 Content-Type 標頭

例如，刪除或修改現有資料的請求被認為是複雜請求。

預檢請求的運作方式

如果需要，瀏覽器會建立預檢請求。這是一個 OPTIONS 請求，如下所示。

OPTIONS /data HTTP/1.1 來源：https://example.com Access-Control-Request-Method: DELETE

瀏覽器會在傳送實際請求訊息之前傳送該預檢請求。伺服器必須回應該預檢請求，回以有關伺其願意從用戶端 URL 接受的跨來源請求的資訊。伺服器回應標頭必須包含以下內容：

• Access-Control-Allow-Methods
• Access-Control-Allow-Headers
• Access-Control-Allow-Origin

下面給出了一個伺服器回應範例。

HTTP/1.1 200 OK Access-Control-Allow-Headers: Content-Type Access-Control-Allow-Origin: https://news.example.com Access-Control-Allow-Methods: GET, DELETE, HEAD, OPTIONS

預檢回應有時包含一個額外的 Access-Control-Max-Age 標頭。此指標指定瀏覽器快取預檢結果的持續時間 (以秒為單位)。快取允許瀏覽器在不同預檢請求之間傳送數個複雜的請求。在 max-age 指定的時間過去之前，瀏覽器不必傳送新的預檢請求。

 

在伺服器上設定跨來源資源共用 (CORS) 時，您應注意以下事項。

定義適當的存取清單

最好始終使用逗號分隔清單來向個別網域授予存取權限。除非您想公開 API，否則請避免使用萬用字元。使用萬用字元和規則運算式可能會產生漏洞。

例如，假設您編寫了一個規則運算式，向字尾為 permitted-website.com 的所有網站授予存取權限。透過這個表達式，您向 api.permitted-website.com 和 news.permitted-website.com 授予了存取權限。但您也在無意中向未經授權的網站授予了存取權限，例如使用 maliciouspermitted-website.com 等網域的網站。

避免在清單中使用 null 來源

某些瀏覽器在某些情況下 (例如檔案請求或來自本機主機的請求) 會在請求標頭中傳送值 null。

但您不應在存取清單中包含 null 值。它還會引入安全風險，因為包含 null 標頭的未經授權的請求可能會取得存取權限。