CORSvsXSS

CORS

CORS 是浏览器的安全机制，控制网页能否向不同域名发起 HTTP 请求。配置不当会导致安全漏洞（数据泄露）或开发体验问题（跨域报错）。

XSS

XSS 让攻击者在受害者的浏览器中执行恶意 JavaScript，可以窃取 Cookie、劫持会话、篡改页面内容。OWASP Top 10 常客，至今仍是最常见的 Web 漏洞之一。

CORS

• 浏览器的同源策略扩展机制
• 通过 HTTP 头控制跨域访问
• 配置不当是常见安全和开发问题

XSS

• 分为反射型、存储型和 DOM 型三种
• CSP 和输出编码是主要防御手段
• 即使在 2025 年仍是 Bug Bounty 最常见的漏洞类型

CORS

浏览器控制不同源之间 HTTP 请求访问权限的安全机制

XSS

通过在 Web 应用中注入恶意客户端脚本来攻击其他用户的安全漏洞

CORS

• 前后端分离架构的跨域配置
• API 的访问控制
• 第三方集成的安全策略

XSS

• Web 应用安全评估
• Bug Bounty 漏洞挖掘
• 安全开发培训

CORS

CORS 基于 HTTP 响应头（Access-Control-Allow-Origin 等）工作。简单请求直接发送，复杂请求先发 OPTIONS 预检。常见错误：Access-Control-Allow-Origin: *（允许所有来源）配合 credentials 使用、未限制 Allow-Methods、预检缓存时间过长。正确做法是白名单指定允许的 Origin，按需开放 Methods 和 Headers。

XSS

XSS 攻击通过在 Web 应用中注入恶意脚本代码，当其他用户访问受影响页面时脚本在其浏览器中执行。存储型 XSS 最危险（恶意代码持久化在服务器），反射型最常见（通过 URL 参数注入），DOM 型最隐蔽（纯客户端触发）。防御需要多层策略：输入验证、输出编码、CSP 头、HttpOnly Cookie。现代前端框架（React、Vue）默认转义输出，大幅降低了 XSS 风险，但自定义渲染和 dangerouslySetInnerHTML 仍是常见突破口。