http - 'Access-Control-Allow-Origin: *' 的缺点？

Question

我的网站有一个单独的静态文件子域。我发现我需要设置 Access-Control-Allow-Origin header 才能使某些 AJAX 功能正常工作，特别是字体。我希望能够从 localhost 以及 www 子域访问静态子域进行测试。简单的解决方案似乎是 Access-Control-Allow-Origin: *。我的服务器使用 nginx。

您可能不想在响应 header 中为 Access-Control-Allow-Origin 使用通配符的主要原因是什么？

Answer 1

您可能不想在以下情况下使用通配符:

1. 你的网站，比如说它的 AJAX 后端 API 运行在不同的域，或者只是在不同的端口，你不想将后端 API 暴露给整个互联网，那么你就不要发送 * .例如，您的网站位于 http://www.example.com和 http://api.example.com 上的后端 API , 然后 API 将响应 Access-Control-Allow-Origin: http://www.example.com .
2. 如果 API 想从客户端请求 cookie，它不能发送 Access-Control-Allow-Origin: * , 但它的值必须是来自实际请求的来源的值。