cors跨域请求漏洞

说起来 CORS 跨域请求的问题，那可真是让我头疼了好久。我记得是在 2017 年的时候，我在一家创业公司做前端开发，那时候我们公司的后端用的是 Spring Boot，前端则是 Vue.js。
那时候，我们遇到了一个很尴尬的情况。我们有一个 API 接口，是用来获取用户数据的。但是，这个 API 接口部署在公司的测试服务器上，而前端页面则部署在公司内部的一个测试环境里。结果呢，当我们在 Vue.js 中发起请求时，浏览器直接就抛出了 CORS 的错误。
我当时那个心情啊，就像是被困在沙漠里找不到出路一样。我尝试了各种方法，比如在 Spring Boot 中配置 CORS，设置 @CrossOrigin 注解，甚至在网上各种搜，看有没有什么魔法可以解决。但就是不行。
后来，我实在是没办法了，就去找了后端的同学帮忙。他一看，说：“，这个简单，你把响应头加上 Access-Control-Allow-Origin 就行了。”我一听，这不就是之前我在网上看到的吗？怎么一直没生效呢？
后来一检查，才发现是我在配置的时候，忘记把 Access-Control-Allow-Origin 的值设置为 了。搞了半天，原来是个小细节的问题。不过，这个坑真是让我印象深刻啊。
现在回想起来，那个时期的经历，虽然累，但也让我学到了不少东西。以后再遇到类似的问题，至少不会像那时候那么慌张了。

上周有个客人问我，说他们的网站在访问某些资源时总是提示跨域请求错误，问我这是怎么回事。我给他解释了一下，这其实就是 CORS 跨域请求漏洞。
CORS，全称是 Cross-Origin Resource Sharing，中文名叫跨源资源共享。简单来说，就是浏览器为了安全考虑，不允许网页直接访问不同源的 API。什么是“不同源”呢？就是协议、域名、端口三者中有一项不同，就属于跨源。
举个例子，假设你的网站域名是 https://example.com，你想要访问 https://api.example.com 提供的接口数据，这时候就会发生跨域请求。因为这两个网站的协议和域名都不同，浏览器就会阻止这种请求。
解决 CORS 跨域请求漏洞的方法有几个：
1. 服务器设置：服务器可以通过设置 HTTP 响应头 Access-Control-Allow-Origin 来允许跨域请求。比如，设置成 Access-Control-Allow-Origin: ，表示允许所有域名的跨域请求。
2. CORS 中间件：如果你使用的是 Node.js，可以安装一些 CORS 中间件，如 cors，来简化设置。
3. JSONP：这是一种比较古老的跨域技术，但只支持 GET 请求，且安全性较低。
4. 代理服务器：通过设置一个代理服务器，将请求转发到目标服务器，然后再返回给客户端。
总之，CORS 跨域请求漏洞是一个常见的网络安全问题，了解并解决它对于开发安全可靠的应用非常重要。反正你看着办吧，根据你的具体需求选择合适的方法。我还在想这个问题，如果你有其他疑问，随时问我。

开头

CORS跨域请求漏洞其实就是网站安全中的一个常见漏洞，它发生在当你从一个域发起请求到另一个域的资源时。
### 展开 先说最重要的，CORS漏洞通常是因为服务器没有正确配置CORS头部，导致允许了非法的跨域请求。比如，去年我们跑的那个项目，大概3000量级用户，就因为服务器配置错误，让不法分子有机可乘，通过CORS漏洞窃取用户数据。
另外一点，很多人没注意，CORS漏洞不仅仅威胁数据安全，还可能被用于发起CSRF攻击。等等，还有个事，我一开始也以为只有大网站才会遇到这个问题，后来发现不对，即使是小型网站，如果用户量较大，同样存在风险。
### 思维痕迹 我一开始也以为CORS漏洞只影响数据安全，后来发现不对，它还可能被用于发起CSRF攻击，这种攻击方式其实挺坑的。
### 结尾 所以，我觉得网站开发者在部署时，一定要仔细检查CORS配置，确保只有可信的域才能发起跨域请求。这个点很多人没注意，我觉得值得试试。