https请求头是否可以伪造为安全威胁？

Question

我正在开发一个应用程序，希望使用http post请求将数据从客户端发送到服务器，服务器使用客户端的原始url来允许使用我们的服务，因此我的问题是，客户端的http url是否可以伪造为访问我的服务的安全威胁，如果是，我应该采取其他替代方案？

例如，如果客户端脚本在来自foo的页面上运行。com希望从bar请求数据。com，在请求中必须指定头来源：http://foo.com，bar必须响应访问控制允许原点：http://foo.com。

有什么可以阻止来自roh网站的恶意代码。com从简单地欺骗头来源：http://foo.com是否从工具栏请求页面？

Answer 1

'服务器使用客户端的原始网址来允许使用我们的服务'
原始网址可以很容易地伪造。
添加一个带有令牌的登录以防止这种情况。

Answer 2

有什么可以阻止网站上的恶意代码roh.com简单地欺骗标题Origin

浏览器正在运行。CORS限制和标题仅在浏览器中起作用，浏览器对它们的控制非常严格。这特别是为了防止用户可能无意中访问的随机站点上的随机脚本的驱动攻击。这是为了保护浏览器的用户。

但是，没有任何东西可以阻止恶意服务器向您的服务器发送带有任意头的任意HTTP请求。我现在可以使用curl或类似的工具从命令行执行此操作。这些头不会对服务器构成任何形式的保证或保护。