何時不應該使用allow-cross-orgin？

Question

我最近一直在使用JavaScript將我的電子郵件的RSS和短語放到一個整潔的小應用程序中，我甚至在本地服務器上設置了一些測試，並完成了一些Cross來源（本地主機和本地IP等）試驗看看可以做些什麼。

不過，當我第一次嘗試它的時候，我忘了發送一個跨越源的頭文件，這讓我想知道，爲什麼呢，。我沒有看到爲什麼不爲每個頁面發送一個跨越源標題的原因，但是，對於帶寬來說，這似乎是一種浪費。所以，我（或他人）的時候應該避免使用：

header("access-control-allow-origin: *") 

Answer 1

簡短的答案是，它也將讓壞人們「假」，他們在某些情況下，你的服務器上的本地。安全編碼可以阻止壞人使用的大多數方法 - 你基本上只是將門解鎖，但仍然設置警報。