ajax - 我可以“信任”请求源参数吗？

Question

假设我的网站是 example.com。在我的服务器上，我有必须仅适用于白名单站点的脚本。我已经设置了这个代码，它只允许来自我的站点的 XHR 请求。

header('Access-Control-Allow-Origin: https://www.example.com')

现在我想知道有人可以更改原始参数并从其他站点发送虚假的 AJAX 请求吗？那么原始参数是否受信任，或者有办法从脚本或浏览器配置或某些第三方服务“覆盖”原始参数示例？

标签： ajaxhttpsecuritycross-domain

Answer 1

CORS 策略在客户端执行；即通过浏览器。

您可以相信他们会努力阻止您的常客使用 CSRF，但没有什么可以阻止某人按照他们的意愿手动向您发送请求。