时间戳

首页 > 解决方案 > 对 apache 的“Access-Control-Allow-Origin”标头感到困惑

apache - 对 apache 的“Access-Control-Allow-Origin”标头感到困惑

问题描述

假设我的网站名为 SiteA.com 在 Apache Web 服务器上运行。我已经定义了ff。在我的 httpd.conf 文件下面：

Header set Access-Control-Allow-Origin "CustomBank.com"

问题：

  1. 这是否意味着只有 CustomBank.com 可以直接访问我的网站 (SiteA.com)？还是意味着只有我的网站 (SiteA.com) 可以直接访问 CustomBank.com 域？如果此设置用于入站或出站，我感到困惑。

  2. 实际上，我的站点不需要任何 CORS 要求，因此我没有实现上述设置，下面的设置显示在我的响应标头中。

    访问控制允许来源：*

渗透测试团队表示此设置过于宽松。我只需要删除它吗？如果不是我该怎么办？

标签： apachecorsibmhttpserver

解决方案

这意味着从 CustomBank.com 加载的 javascript 可以在后台通过 XMLHTPRequest 向您的站点（配置已更改的站点）发出请求。

由于 XMLHTTPRequest 将向用户发送与您网站的现有会话 cookie，恶意脚本可能会代表您的用户执行各种恶意/误导性的事情。这就是为什么 * 通常不是一个合适的修复方法。

这些限制适用于其他更深奥的类似脚本的调用，您可以在规范中阅读。

推荐阅读