CORS headers security implications should be more specific
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 2/5
- Thời gian dự kiến
- 1-3 giờ
- Mức phù hợp với người mới
- 42/100
- Loại issue
- Tài liệu
- Độ rõ ràng
- Khá rõ ràng
- Mức độ hoạt động
- Đình trệ
- Lĩnh vực
- documentation, security
Hướng nghiên cứu
Bắt đầu với trang xử lý sự cố CORS được liên kết, đặc biệt là phần về việc bật CORS trên máy chủ mà bạn kiểm soát. Xem lại phần giải thích về Access-Control-Allow-Origin đối với localhost, nội dung nhạy cảm, session, cookie và CSRF. Công việc được xem là hoàn tất khi trang cung cấp hướng dẫn cụ thể, minh bạch về các tác động bảo mật và thời điểm sử dụng native HTTP plugin.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
URL
https://ionicframework.com/docs/troubleshooting/cors#a-enabling-cors-in-a-server-you-control
What is missing or inaccurate about the content on this page?
The docs state, "Allowing any origin with Access-Control-Allow-Origin: * is guaranteed to work in all scenarios but may have security implications — like some CSRF attacks — depending on how the server controls access to resources and use sessions and cookies.".
And that is the only word on the security implications of setting CORS headers. I think the docs need to be more specific and take a stance on whether adding the Access-Control-Allow-Origin header set to http://localhost (or whatever the protocol and hostname is), is safe/unsafe.
This is my interpretation.... If the content the server is serving is not sensitive then it is safe to add the headers. Otherwise, I would not want to add the headers and the native http plugin should be used. This is because a malicious site could be running at localhost in the browser, opening up CSRF attacks.
I think being more specific and transparent here is the best approach and will improve security.
- Ngôn ngữ chính
- MDX
- Star
- 621
- Fork
- 3.2k
- Merge trung bình
- 1 ngày 2 giờ
- Pull request đã merge (30 ngày)
- 86
Hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của ionic-team/ionic-docs
-
content
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 86/100
ionic-team/ionic-docs#4705 ·
-
content package: angular
Độ khó 2/5 Nửa ngày Mức phù hợp với người mới 78/100
ionic-team/ionic-docs#4702 ·
-
triage
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 80/100
ionic-team/ionic-docs#4546 ·
-
content: broken link Đang mởcontent
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 68/100
ionic-team/ionic-docs#4381 · 2 bình luận ·
-
triage
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 72/100
ionic-team/ionic-docs#3639 ·
Tất cả issue của ionic-team/ionic-docs
Issue tương tự
-
Crush Đang mở
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 85/100
catppuccin/catppuccin#3125 ·
-
Link Checker Report Đang mởautomated issue report
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 95/100
-
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 90/100
VoltAgent/awesome-design-md#469 ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100
KhronosGroup/glTF#2648 ·
-
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 90/100
sccn/sccn.github.io#108 ·