DEV Community
·
TryHackMe：CORS与同源策略（SOP）
内容提要
同源策略（SOP）限制网页请求同一域名，而跨域资源共享（CORS）允许服务器声明例外以支持跨域请求。CORS通过HTTP头部控制访问，主要包括Access-Control-Allow-Origin等重要头部。请求分为简单请求和预检请求，浏览器根据服务器的CORS响应头决定是否允许访问。错误配置可能带来安全风险，需谨慎处理。
关键要点
-
同源策略（SOP）限制网页请求同一域名。
-
跨域资源共享（CORS）允许服务器声明例外以支持跨域请求。
-
CORS通过HTTP头部控制访问，主要包括Access-Control-Allow-Origin等重要头部。
-
请求分为简单请求和预检请求，浏览器根据服务器的CORS响应头决定是否允许访问。
-
简单请求使用GET、HEAD或POST方法，且Content-Type为特定类型。
-
预检请求使用OPTIONS方法，适用于复杂请求或自定义头部。
-
服务器响应必须包含Access-Control-Allow-Methods、Access-Control-Allow-Headers和Access-Control-Allow-Origin头部。
-
Access-Control-Allow-Origin头部指定允许访问的域名。
-
单一来源配置限制请求来自特定域，安全性高。
-
多个来源配置允许特定来源的请求，但需谨慎管理。
-
通配符来源配置允许任何来源请求，安全性低。
-
带凭证的配置允许跨域请求中发送凭证，但需确保安全性。
-
常见的CORS配置错误包括接受null来源和错误的正则表达式检查。
-
应维护允许的来源白名单，避免信任任意提供的来源。
延伸解读
同源策略与跨域资源共享的关系
同源策略（SOP）是浏览器的安全机制，限制网页只能请求同一域名的资源。而跨域资源共享（CORS）则是对这一限制的补充，允许服务器通过特定的HTTP头部声明例外。这种机制使得开发者可以在确保安全的前提下，灵活地处理跨域请求，适应现代Web应用的需求。
CORS配置的安全风险
CORS的配置不当可能导致安全漏洞。例如，使用通配符（*）允许任何来源请求，或错误地信任null来源，都会增加被攻击的风险。开发者应仔细管理允许的来源列表，确保只信任经过验证的域名，以防止潜在的跨站请求伪造（CSRF）攻击。
简单请求与预检请求的区别
在CORS中，简单请求和预检请求的处理方式不同。简单请求直接发送，而预检请求则需要先发送OPTIONS请求以确认服务器的支持。这种设计有助于提高安全性，确保服务器能够处理复杂请求时，客户端才会发送实际的数据请求。
延伸问答
什么是同源策略（SOP）？
同源策略（SOP）是一种限制网页请求同一域名的安全机制。
CORS如何工作？
CORS通过HTTP头部允许服务器声明哪些域可以访问其资源，浏览器根据这些头部决定是否允许请求。
CORS中有哪些重要的HTTP头部？
重要的HTTP头部包括Access-Control-Allow-Origin、Access-Control-Allow-Methods和Access-Control-Allow-Headers。
什么是简单请求和预检请求？
简单请求使用GET、HEAD或POST方法，而预检请求使用OPTIONS方法，适用于复杂请求或自定义头部。
CORS配置错误有哪些常见类型？
常见的CORS配置错误包括接受null来源、错误的正则表达式检查和信任任意提供的来源。
如何安全地配置CORS？
应维护允许的来源白名单，避免信任任意提供的来源，并确保正则表达式检查的准确性。
