W3C訪問控制規範保護什麼？

Question

這個問題的目的是確認（或不）我對W3C Access Control目的的理解。如果我正確讀取它，它允許資源控制誰可以從其他資源加載的頁面訪問它。它不會保護頁面免受惡意軟件注入，從而產生跨腳本請求。換句話說，任何壞帽子都可以創建一個（例如）寧靜的服務，以愉快地接受被盜的信息，只要它返回這個規範的頭文件告訴瀏覽器它很樂意這樣做。我錯過了什麼？

Answer 1

你的理解聽起來正確。 CORS規範僅詳細說明一個域中的代碼如何訪問來自另一個域的數據，從而解決了相同域的限制。與任何其他Web請求相同的安全注意事項對於CORS仍然有效，並且您應該信任要從中加載數據的遠程服務器。如果您在服務器端實施CORS，則不應將CORS作爲唯一的安全機制。如果允許訪問某些受保護資源，則應在CORS請求之上分層授權機制，例如OAuth2。