cors - 是否允许没有 Origin 的 CORS 请求？

Question

header 中没有“Origin”的请求与设置为特定 FQDN 的 CORS protected 资源 Access-Control-Allow-Origin 收到正确的 200 响应是否正确？

我预计会出现错误，例如当 Origin 设置为与允许的不同的 FQDN 时，虽然它工作得很好。

Answer 1

CORS 保护旨在防止一个网站使用您的凭据触发另一网站上的事件，例如A.com 上的脚本通过 AJAX 请求将数据发布到 B.com。

如果站点触发对不同域的请求，则 Origin header 将由浏览器自动设置(并且不能被覆盖)*。这是根据第二个站点上的“Access-Control-Allow-Origin” header 进行检查的。

如果您在浏览器中直接访问 B.com，则 Origin 将为空白，因为您位于同一站点:CORS 不相关。手动设置 Origin header 将模仿限制行为，但这不是 CORS 旨在保护用户免受影响的正常情况。

*某些类型的请求(例如加载图像或脚本)不会被 CORS 保护阻止