html5 - Bagaimanakah seharusnya Access-Control-Allow-Origin mekanisme CORS harus ditetapkan?

Question

Untuk menggunakan domain silang cors, pelayan sasaran perlu menambahkan hos anda dalam Access-Control-Allow-Origin atau tetapkan Access-Control-Allow-Origin kepada *. Jika pelayan sasaran adalah pihak ketiga, nampaknya tidak realistik untuk dia menambah saya Jika ia adalah API awam, ia tidak boleh ditambah Dalam kes ini, adakah ia ditetapkan kepada *? Jika ditetapkan kepada * untuk menerima permintaan daripada mana-mana nama domain, adakah terdapat sebarang masalah dengan serangan XSS?

Answer 1

API awam seperti Baidu API memerlukan kunci rahsia untuk melaraskan antara muka. Untuk melaraskan antara muka pelayan pihak ketiga, anda perlu memohon untuk menyenarai putih. . .

Answer 2

Untuk pertimbangan keselamatan, kebanyakan antara muka terbuka memerlukan pengesahan tandatangan. Anda boleh melihat antara muka terbuka Alibaba https://market.aliyun.com/data

Answer 3

Beri perhatian, soalan yang bagus