ИнфоБез

Web Security #14. CORS: кто имеет право читать ответ Представим два сайта:

https://frontend.example
https://api.example

JavaScript на frontend хочет сделать:

fetch("https://api.example/profile")

Браузер видит:

Origin:
https://frontend.example

а ресурс находится на другом origin:

https://api.example

Здесь вступает в игру CORS — Cross-Origin Resource Sharing. Сервер может ответить:

Access-Control-Allow-Origin: https://frontend.example

Браузер понимает:

Этот origin разрешён.

Если сервер не разрешил origin, браузер ограничит доступ JavaScript к ответу. Очень важно: CORS — это в первую очередь механизм браузера. Он не является универсальным firewall. Например:

Attacker
   |
   v
Server

CORS не означает автоматически:

"Server не принимает запросы от attacker"

Он регулирует, может ли browser-код прочитать cross-origin response. Ещё одна распространённая ошибка:

Access-Control-Allow-Origin: *

вместе с неправильной конфигурацией credentials. Поэтому CORS нужно рассматривать вместе с:

Origins
Cookies
Credentials
Authentication
Browser security model

Практика: Открой DevTools → Network. Найди запрос к API. Посмотри:

Origin
Access-Control-Allow-Origin
Access-Control-Allow-Credentials

Затем ответь на вопрос:

Какой именно origin сервер разрешает читать этот response?