expressjs/cors

CORS requests with credentials should forbid `*`

Open

#333 ouverte le 19 oct. 2024

Voir sur GitHub
 (4 commentaires) (0 réactions) (0 assignés)JavaScript (476 forks)batch import
3.xbughelp wanted

Métriques du dépôt

Stars
 (5 897 stars)
Métriques de merge PR
 (Aucune PR mergée en 30 j)

Description

The standard forbids using * in the Access-Control-Allow-Origin, Access-Control-Expose-Headers, Access-Control-Allow-Methods, or Access-Control-Allow-Headers response header, if the Access-Control-Allow-Credentials request header is set to true.

https://fetch.spec.whatwg.org/#cors-protocol-and-credentials

https://fetch.spec.whatwg.org/#http-new-header-syntax

Right now, this module allows it. In fact, it does it by default if the credentials option is set to true.

Instead, it could either:

  • Throw an error
  • Not set CORS response headers, i.e. rejecting the CORS request
  • Use the Origin request header, if specified. The Vary: Origin response header would need to be set too then.

Guide contributeur

Direction de recherche
Implémentez la spécification CORS en interdisant les origines génériques lorsque les informations d'identification sont vraies. Envisagez de générer une erreur ou d'utiliser l'en tête Origin.
Stack technique
javascript
Domaine
backendapi
Type d'issue
Bug
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
Node.jsExpress
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
70