Przeglądarka i wydajność · Senior · Pytanie 39 z 75
Co jest nie tak z tym sprawdzeniem CORS?
const origin = req.headers.origin;
if (origin && origin.endsWith("example.com")) {
res.setHeader("Access-Control-Allow-Origin", origin);
res.setHeader("Access-Control-Allow-Credentials", "true");
}- 1
endsWithnie działa na nagłówkach - ✓Poprawna odpowiedź:
https://evilexample.comteż przechodzi, a z credentials serwis atakującego może czytać dane użytkowników - 3Nic, to zalecany wzorzec
Wyjaśnienie
Porównuj z dokładną listą pełnych originów (schemat + host + port). Sprawdzanie sufiksu i regexy to klasyczny błąd CORS.