矛盾OWASP CORS建議

Question

我不解的看着在OWASP site的cheatsheet這個矛盾的CORS：

• 使用時要特別小心訪問控制允許的憑據：真正的響應頭。白名單允許的起源和永遠不會回訪Access-Control-Allow-Origin中的原始請求標頭。
• 只允許在Access-Control-Allow-Origin標頭中選定的可信域。優先將域名列入黑名單或允許任何域（通過*通配符或回顯Origin標頭內容）。

有一個漂浮在那裏，你應該回顯地請求頭，所以我不能像不這樣做，除了公共API的一個原因，你可以使用一個通配符*大量的信息。我的觀點是，如果您按照此處的建議將白名單的域名列入白名單，那麼您可以防止欺騙Origin標頭。我錯過了什麼嗎？這只是在該作弊表上的錯字？

Answer 1

我認爲第二項建議措辭不佳。他們都說你應該避免回顯Origin標題。通過「回顯」，我認爲他們的意思是盲目地將Origin標題的值放在Access-Control-Allow-Origin標題中，而沒有任何中間檢查（例如白名單）。還請注意，這些建議並非絕對規則，應通過您的需求來解釋。 API越公開和公開，價值越高。