html5 - CORS機制的Access-Control-Allow-Origin該怎麼設定？

Question

使用cors跨域需要目標伺服器在Access-Control-Allow-Origin中加入你的host或把Access-Control-Allow-Origin設為 * 號。那如果目標伺服器是第三方的話，讓他去加我好像不太現實，如果是那種public api的話也加不過來，那這種情況都是設成 * 嗎？設為 * 接受任何網域的請求的話會不會產生xss攻擊的問題呢？

Answer 1

公共Api例如百度Api調介面要用秘鑰key。調第三方伺服器的介面是要申請加白名單的。 。 。

Answer 2

安全考慮大部分開放介面都會要求簽名驗證的。可以看下阿里的開放介面https://market.aliyun.com/data

Answer 3

關註一下,好的問題