cors - 为什么没有在 CORS 未命中时设置 'Vary: Origin' 响应？

Question

发出 CORS 请求时，如果请求的源位于允许的源列表中，则响应中包含 Access-Control-Allow-Origin标题和 Vary: Origin标题。

Vary: Origin 告诉向前的 CDN 等，响应是根据请求者的 Origin header 值协商的。

问题是(我已经测试了领先的 CDN 提供商)，如果请求者未在其请求中提供 Origin header ，或者 Origin 值不是允许的 header 之一，则响应不包括变化:响应中的来源。

执行 CORS 的 CDN 是否应该始终在响应 header 中使用 Vary: Origin 进行响应？ 如果不是，CDN 会相信它可以为任何 Origin 值提供相同的响应。再说一次，可以通过使用随机源值发出许多请求来填充 CDN 缓存。

Answer 1

是的。如果请求可能包含 Access-Control-Allow-Origin不同的值，那么 CDN 应该总是响应 Vary: Origin ，即使对于没有 Access-Control-Allow-Origin 的响应标题。您的分析是正确的:如果 header 并不总是存在，则可能会用不正确的值填充缓存。