Bạn nên lưu ý những điều sau khi cấu hình chia sẻ tài nguyên giữa các nguồn gốc khác nhau (CORS) trên máy chủ của bạn.
Xác định danh sách truy cập thích hợp
Tốt nhất là luôn cấp quyền truy cập cho các miền riêng lẻ bằng cách sử dụng danh sách phân tách bằng dấu phẩy. Tránh sử dụng ký tự đại diện trừ khi bạn muốn công khai API. Nếu không, việc sử dụng ký tự đại diện và biểu thức chính quy có thể tạo ra các lỗ hổng bảo mật.
Ví dụ: giả sử bạn viết một biểu thức chính quy cấp quyền truy cập vào tất cả các trang web có hậu tố permitted-website.com. Chỉ với một biểu thức, bạn cấp quyền truy cập vào api.permitted-website.com và news.permitted-website.com. Nhưng bạn cũng vô tình cấp quyền truy cập vào các trang web trái phép có thể sử dụng các miền như maliciouspermitted-website.com.
Tránh sử dụng nguồn gốc có giá trị null trong danh sách của bạn
Một số trình duyệt gửi giá trị null trong tiêu đề yêu cầu cho một số tình huống như yêu cầu tệp hoặc yêu cầu từ máy chủ cục bộ.
Tuy nhiên, bạn không nên bao gồm giá trị null trong danh sách truy cập của mình. Điều này cũng gây ra các rủi ro bảo mật vì những yêu cầu trái phép chứa các tiêu đề null có thể được cấp quyền truy cập.