CORS 跨域工作机制与安全防范

随着前后端分离架构的跨域逐渐普及 ，CORS跨域技术被广泛应用在Web应用中
，工作以便不同域之间资源的机制互相访问。

一、安全CORS工作机制详解

CORS的防范全称是跨域资源共享（Cross-Origin Resource Sharing） ，允许浏览器向跨域服务器发起XMLHttpRequest请求。跨域主要机制分为两种调用流程
：

1、工作简单请求

浏览器直接发出实际请求，机制无需预检 
。安全简单请求满足以下条件：

使用下列方法之一：GET、防范HEAD、跨域POST只能设置以下头部：Accept、工作Accept-Language、源码库机制Content-Language、安全Content-Type（只限于application/x-www-form-urlencoded 、防范multipart/form-data、text/plain三种类型）

如果满足这两个条件
 ，浏览器会自动在请求头中添加 Origin 字段，发起简单请求
，服务器根据 Origin 划定的来源域 ，决定是否给予响应。

2、预检请求

如果不满足简单请求的条件 ，浏览器会自动发起预检请求（OPTIONS 请求），询问服务器请求是否被允许
。服务器租用如：

浏览器发送 OPTIONS 请求，请求头中包含 Origin、Access-Control-Request-Method 和 Access-Control-Request-Headers 等信息服务器响应 OPTIONS 请求，响应头中包含 Access-Control-Allow-Origin 、Access-Control-Allow-Methods 和 Access-Control-Allow-Headers 等信息浏览器对响应头信息进行确认和缓存浏览器发送实际请求。请求头中自动添加 Origin 字段
。服务器进行 Access-Control-Allow-Origin 校验，并响应实际请求

二
、CORS安全风险详解

CORS 的机制有一定复杂性 ，也会有藏着一些安全风险 
。主要包括：

1、CORS误配置风险

如果服务器端CORS配置错误，可能会使得本不应该访问的恶意网站得到数据访问权限 。这属于典型的高防服务器CORS误配置问题。

2 、CSRF跨站请求伪造风险

攻击者可利用CORS实现CSRF攻击 。例如恶意网站利用CORS请求接口获取用户数据或执行增删改操作。这属于利用CORS实现CSRF攻击的风险 。

3、信息泄露风险

攻击者可以利用CORS的一些特性获取敏感信息 。例如根据CORS头部判断网站架构 ，根据错误信息判断后台技术栈等。

4 、报文劫持风险

攻击者可在客户端通过JS劫持CORS报文
 ，改变请求参数 、添加非法头部甚至修改响应内容。这属于CORS请求被劫持的香港云服务器风险 。

5、浏览器缓存被污染风险

恶意网站可向有缓存的CORS接口大量发送预检请求，导致浏览器缓存被其预检选项所污染，进而影响其他正常CORS请求
。

三、防范策略

防范CORS风险的关键在于从源头加强接口访问控制，严格限制允许跨域请求的来源，具体策略包括：

严格限制允许跨域请求的源（Origin） 。生产环境一般只允许指定的域名请求
，不开放 。云计算对安全性要求高的接口，禁用CORS跨域访问 。敏感接口不允许异域调用。验证Origin请求头防止它被欺骗。攻击者可能伪造这个字段 。使用CSRF防护机制
，比如校验HTTP Referer 或在请求中设置token进行校验。接口响应中避免返回敏感信息。对错误信息进行遮蔽处理 。在服务端校验CORS的请求头，防止其被客户端篡改
 。对跨域预检请求的缓存时长、次数/频率进行限制。模板下载使用CSP防护CORS跨域请求遭到劫持的风险
。启用服务器端的CORS中间件
，规范CORS的实现。

CORS作为一个具有明确边界访问控制的跨域解决方案 ，应严格限制在业务必需的场景中使用 。在启用CORS的基础上，采取必要的安全防护措施，以降低相关风险。