cors - 是什么阻止了一个站点使用 CORS 窃取另一个站点的用户数据？

Question

我对 CORS 的理解是，如果一个页面从不同的域请求数据，浏览器在发出请求时会为浏览器用户使用不同域的 cookie。这是否打开了以下安全漏洞的可能性？

假设我正在使用开放的 CORS（接受所有请求）运行 a.com。是什么阻止 b.com 在 JS 中向受保护的端点（通过 cookie auth）发出请求，并从 a.com 上的用户帐户获取一些信息，然后将其上传到 b.com场景？如果浏览器包含 cookie，那么服务器就无法知道它是真正的用户，还是另一个冒充用户的站点。

我在这里遗漏了什么，或者这是一种可能性吗？

这假设当前浏览器用户访问过 a.com，登录到 a.com，然后访问过 b.com

Answer 1

是什么阻止 b.com 在 JS 中向受保护的端点（通过 cookie auth）发出请求，并从 a.com 上的用户帐户获取一些信息，然后将其上传到 b.com场景？

没有什么。

您正在使用开放的 CORS 运行。

这意味着您明确授予任何站点读取您发送到用户浏览器的数据的权限。

同源策略的目的是防止这种情况。CORS 允许您关闭该安全功能。

设置完全开放的 CORS 允许任何站点访问您提供给用户的数据。当存在不应该对每个站点都可用的数据时，您不应该设置完全开放的 CORS。