DEV Community
·
TryHackMe：CORS与同源策略（SOP）
💡
原文英文，约1000词，阅读约需4分钟。
📝
内容提要
同源策略（SOP）限制网页请求同一域名，而跨域资源共享（CORS）允许服务器声明例外以支持跨域请求。CORS通过HTTP头部控制访问，主要包括Access-Control-Allow-Origin等重要头部。请求分为简单请求和预检请求，浏览器根据服务器的CORS响应头决定是否允许访问。错误配置可能带来安全风险，需谨慎处理。
🎯
关键要点
- 同源策略（SOP）限制网页请求同一域名。
- 跨域资源共享（CORS）允许服务器声明例外以支持跨域请求。
- CORS通过HTTP头部控制访问，主要包括Access-Control-Allow-Origin等重要头部。
- 请求分为简单请求和预检请求，浏览器根据服务器的CORS响应头决定是否允许访问。
- 简单请求使用GET、HEAD或POST方法，且Content-Type为特定类型。
- 预检请求使用OPTIONS方法，适用于复杂请求或自定义头部。
- 服务器响应必须包含Access-Control-Allow-Methods、Access-Control-Allow-Headers和Access-Control-Allow-Origin头部。
- Access-Control-Allow-Origin头部指定允许访问的域名。
- 单一来源配置限制请求来自特定域，安全性高。
- 多个来源配置允许特定来源的请求，但需谨慎管理。
- 通配符来源配置允许任何来源请求，安全性低。
- 带凭证的配置允许跨域请求中发送凭证，但需确保安全性。
- 常见的CORS配置错误包括接受null来源和错误的正则表达式检查。
- 应维护允许的来源白名单，避免信任任意提供的来源。
❓
延伸问答
什么是同源策略（SOP）？
同源策略（SOP）是一种限制网页请求同一域名的安全机制。
CORS如何工作？
CORS通过HTTP头部允许服务器声明哪些域可以访问其资源，浏览器根据这些头部决定是否允许请求。
CORS中有哪些重要的HTTP头部？
重要的HTTP头部包括Access-Control-Allow-Origin、Access-Control-Allow-Methods和Access-Control-Allow-Headers。
什么是简单请求和预检请求？
简单请求使用GET、HEAD或POST方法，而预检请求使用OPTIONS方法，适用于复杂请求或自定义头部。
CORS配置错误有哪些常见类型？
常见的CORS配置错误包括接受null来源、错误的正则表达式检查和信任任意提供的来源。
如何安全地配置CORS？
应维护允许的来源白名单，避免信任任意提供的来源，并确保正则表达式检查的准确性。
➡️
