CORS與後端和前端Angular2

Question

我有以下結構：

1. 後端它通過REST API提供的服務。此後端使用在http://localhost:8080上啓動的嵌入式Tomcat服務器。
2. Angular 2中的一個前端，帶有一個靜態HTTP服務器（lite-server），位於http://localhost:8000。前端通過「@ angular/http」發送後端請求。

前端在互聯網上發佈以供所有人訪問。 我想保護CORS的後端（只有我的前端可以在後端做請求）。

HTTP頭中'Access-Control-Allow-Origin'的後端應該發送的值是什麼？ 我猜前端發送的請求的起源等於最終用戶的IP地址嗎？那麼，我應該把一個通配符「*」作爲「Access-Control-Allow-Origin」？ =>否CORS安全

我的理解是否正確？ 我的架構不好嗎？ 這個問題的解決方案是什麼？

Answer 1

我想它必須像：

Access-Control-Allow-Origin: http://127.0.0.1:8000 

使用通配符（*）是一個壞主意。 （並且它需要設置一個虛假的Access-Control-Allow-Credentials頭。）所以你是對的。