设置访问控制允许来源有哪些安全隐患？
我最近不得不设置Access-Control-Allow-Origin为*，以便能够进行跨子域的ajax调用。
现在，我不禁感到自己正在使环境面临安全风险。
如果我做错了，请帮助我。
问题答案：
通过使用响应Access-Control-Allow-Origin: *，所请求的资源允许与每个来源共享。基本上，这意味着任何站点都可以向您的站点发送XHR请求并访问服务器的响应，如果您尚未实现此CORS响应，则不会这样。
因此，任何站点都可以代表其访问者向您的站点发出请求并处理其响应。如果您基于浏览器自动提供的内容（例如cookie，基于cookie的会话等）实施了诸如身份验证或授权方案之类的内容，则由第三方站点触发的请求也将使用它们。
这确实构成了安全风险，尤其是如果您不仅允许共享选定资源，还允许共享每个资源的资源，则尤其如此。
-
问题内容： 我看到以下错误： 使用此代码： 是什么原因引起的，如何解决？ 问题答案： 在当前域之外发出ajax请求时，Javascript是受限制的。 例1：您的域名为example.com，并且您想向test.com提出请求=>您不能。 例2：您的域名是example.com，并且您想向inner.example.com发送请求，但是您不能。 例3：您的域名为example.com:80，并且您
-
我看到设置“*”通配符是安全风险，即。 我想知道在设置具体域时是否存在任何安全风险，即
-
问题内容： 我试图使CORS请求正常工作。使用以下JS代码，我得到此错误： 这是JS代码： 当我使用chrome的devtools查看网络时，我发现确实没有标题。但是，当我手动加载该网站时，它就存在了！ 我使用以下代码设置标题： 希望能有所帮助！ 问题答案： 它说这意味着您的服务器应用程序需要调整以接受跨源请求。由于安全原因，默认情况下跨源请求不起作用。您需要启用它们。 对于django，有一个维
-
我有一个网站，有一个单独的静态文件子域。我发现我需要设置标题，以使某些AJAX功能正常工作，特别是字体。我希望能够从访问静态子域进行测试，以及从子域访问静态子域。简单的解决方案是。我的服务器使用nginx。 您可能不想在响应标题中使用通配符作为，主要原因是什么？
-
我已经设置了一个带有套接字io的节点服务器，并尝试通过另一台服务器连接到它。但是，不同计算机上的一些浏览器会给我这个错误并使其始终重新连接： XMLHttp请求无法加载https://serverDomain.net:3000/socket.io/?EIO=3 我的js配置： 我正在使用节点 8.0 和套接字 io 2.2，您的帮助将不胜感激。 编辑：这是客户端代码：
-
问题内容： Web编程有些新知识，对此有些困惑。我有一个提供网站的基本express.js web服务器。我想将一个Gameid交给一个函数，并让其使用其Web API从Steam抓取成就信息，应该使用以下REST API调用来支持该信息： https://developer.valvesoftware.com/wiki/Steam_Web_API#GetGlobalAchievementPerc