CORS headers security implications should be more specific
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 42/100
- Issue 类型
- 文档
- 描述清晰度
- 基本清楚
- 活跃度
- 停滞
调研方向
从链接的 CORS 故障排除页面开始，尤其是其中关于在你控制的服务器上启用 CORS 的部分。查看其中针对 localhost、敏感内容、会话、cookies 和 CSRF 对 Access-Control-Allow-Origin 的说明。完成标准是：页面对安全影响以及何时使用 native HTTP plugin 提供具体、透明的指导。
由索引模型根据 Issue 内容生成。
描述
URL
https://ionicframework.com/docs/troubleshooting/cors#a-enabling-cors-in-a-server-you-control
What is missing or inaccurate about the content on this page?
The docs state, "Allowing any origin with Access-Control-Allow-Origin: * is guaranteed to work in all scenarios but may have security implications — like some CSRF attacks — depending on how the server controls access to resources and use sessions and cookies.".
And that is the only word on the security implications of setting CORS headers. I think the docs need to be more specific and take a stance on whether adding the Access-Control-Allow-Origin header set to http://localhost (or whatever the protocol and hostname is), is safe/unsafe.
This is my interpretation.... If the content the server is serving is not sensitive then it is safe to add the headers. Otherwise, I would not want to add the headers and the native http plugin should be used. This is because a malicious site could be running at localhost in the browser, opening up CSRF attacks.
I think being more specific and transparent here is the best approach and will improve security.
- 主要语言
- MDX
- 星标
- 621
- 派生
- 3.2k
- 平均合并
- 1 天 6 小时
- 30 天内合并 PR
- 65
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 没有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
ionic-team/ionic-docs 的其他 Issue
-
content: sheet modal docs should explain how to keep interactive content from dragging the sheet未关闭content
难度 2/5 1-3 小时 新手友好度 88/100
ionic-team/ionic-docs#4765 ·
维护者通常 1 天内回复
-
content
难度 2/5 1-3 小时 新手友好度 86/100
ionic-team/ionic-docs#4705 ·
维护者通常 1 天内回复
-
content package: angular
难度 2/5 半天 新手友好度 78/100
ionic-team/ionic-docs#4702 ·
维护者通常 1 天内回复
-
triage
难度 1/5 1 小时以内 新手友好度 80/100
ionic-team/ionic-docs#4546 ·
维护者通常 1 天内回复
-
content
难度 2/5 1-3 小时 新手友好度 68/100
ionic-team/ionic-docs#4381 · 2 条评论 ·
维护者通常 1 天内回复
查看 ionic-team/ionic-docs 的全部 Issue
相似的 Issue
-
Release notes未关闭
难度 2/5 1-3 小时 新手友好度 68/100
mieweb/timehuddle#634 ·
维护者通常 1 天内回复
-
难度 1/5 1 小时以内 新手友好度 82/100
维护者通常 1 天内回复
-
Add: Entune未关闭
难度 2/5 1-3 小时 新手友好度 76/100
AbdelStark/awesome-typesafe-jev#187 ·
维护者通常 1 天内回复
-
难度 1/5 1 小时以内 新手友好度 92/100
blinklabs-io/dingo#4937 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 78/100
TheOdinProject/curriculum#31444 ·
维护者通常 1 天内回复