使用http访问AJAX和服务器安全性access-control-allow- *

Question

我正在研究一个JavaScript库，我希望任何使用它的人都可以向我的服务器发出请求。 因为这我已经添加了access-control-allow-origin，方法头部到我的服务器响应。

Thigs工作正常，但我的问题是：这对我的服务器是否安全？还有什么其他含义可以考虑？

非常感谢。

Answer 1

它与服务器上的代码一样安全。如果你允许人们发送一个可以丢弃表格的AJAX请求，那么它不是安全的。但是，如果您遵循网站/脚本安全的最佳做法，它应该与处理您的服务器通常会发出的任何其他请求一样安全。

Answer 2

匿名用户可以更改您的服务器（例如增加投票计数器，发表评论，删除帖子等）吗？如果是这样，如果您不控制的网站使部分或全部用户使用您网站的这一功能，这无关紧要吗？访问控制标头是否允许远程XHR发出这些请求？如果是这样，你有一个问题。

知名用户可以更改您的服务器吗？如果是这样，如果一个你不能控制的网站让一些或全部也是你的用户的用户使用你的网站的这个功能，这有什么关系吗？访问控制标头是否允许远程XHR发出这些请求？访问控制标头是否允许通过身份验证方法（如cookie）？如果是这样，你有一个问题。

简而言之：

• 用户可以做一些网站上的潜在的不良？
• 您的访问控制标头是否阻止第三方网站使用户执行那些不可取的事情？