Co kontroluje CORS?
Serwer określa, z jakich domen przeglądarka może odczytywać odpowiedzi, jakie metody i nagłówki są dozwolone oraz czy można przesyłać cookie lub inne poświadczenia.
Dlaczego gwiazdka nie zawsze jest błędem?
Access-Control-Allow-Origin: * jest dopuszczalne dla publicznych zasobów bez danych użytkownika. Staje się problemem, gdy endpoint zwraca informacje wrażliwe albo konfiguracja próbuje łączyć szeroki dostęp z poświadczeniami.
Odbijanie nagłówka Origin
Niektóre aplikacje bez sprawdzenia kopiują dowolny Origin przesłany przez klienta. Jeżeli jednocześnie zezwalają na credentials, obca strona może próbować odczytać odpowiedź w kontekście zalogowanego użytkownika.
Dobra konfiguracja
Utrzymuj dokładną listę dozwolonych domen, weryfikuj pełny schemat i nazwę hosta, ograniczaj metody oraz nagłówki i nie zezwalaj na poświadczenia, jeżeli nie są rzeczywiście potrzebne.