什么是 CORS？
CORS（Cross-Origin Resource Sharing）是浏览器的一种安全策略，用于限制跨域请求资源的访问。当一个网页发送跨域请求时，浏览器会先向目标服务器发送一个 OPTIONS 请求，以确定是否允许该跨域请求。
如果目标服务器允许该跨域请求，浏览器会在请求头中添加一个 Origin 字段，表示该请求来自哪个域名。目标服务器会在响应头中添加一个 Access-Control-Allow-Origin 字段，表示该域名被允许访问该资源。
CORS 攻击
CORS 攻击指的是攻击者通过伪造 Origin 字段或者利用浏览器的漏洞，绕过浏览器的安全策略，访问受害者网站的敏感信息或执行恶意操作。
以下是一些常见的 CORS 攻击方式：
CSRF（Cross-site Request Forgery）
攻击者通过伪造请求的 Origin 字段，使得受害者在不知情的情况下，向目标服务器发送恶意请求。比如，攻击者可以在一封钓鱼邮件中，引导受害者点击一个链接，该链接会向目标服务器发送一个修改密码的请求，从而导致受害者的密码被篡改。
XSS（Cross-site Scripting）
攻击者通过在受害者网站上注入恶意脚本，使得该网站的用户在访问该网站时，执行该恶意脚本，从而盗取用户的敏感信息或执行恶意操作。
CORS 窃取
攻击者通过伪造请求的 Origin 字段，使得浏览器认为该请求来自目标服务器，从而获取目标服务器的敏感信息。
Koa2 中的 CORS 防御
为了防止 CORS 攻击，Koa2 提供了 koa2-cors 中间件，用于设置 CORS 的响应头。
以下是一个示例代码：
-- -------------------- ---- ------- ----- --- - --------------- ----- ---- - --------------------- ----- --- - --- ------ -------------- ------- ---------------------- ------------ ----- ------------- ------- ------- ------- ------------- ---------------- ----------------- ---- -----------------
上述代码中，我们使用了 koa2-cors 中间件，并设置了以下选项：
origin：表示允许访问的域名。可以是一个字符串，也可以是一个函数，接收当前请求的 ctx 对象作为参数，返回允许访问的域名。credentials：表示是否允许发送 Cookie 和 HTTP 认证信息。如果设置为 true，需要在客户端的请求头中添加withCredentials: true。allowMethods：表示允许的 HTTP 方法。allowHeaders：表示允许的请求头。
通过设置以上选项，我们可以有效地防止 CSRF 和 XSS 攻击，同时也可以防止 CORS 窃取攻击。
总结
CORS 攻击是一种常见的网络安全问题，能够对网站的用户造成严重的损失。为了防止 CORS 攻击，我们可以使用 koa2-cors 中间件设置响应头，限制跨域请求的访问。在实际开发中，我们需要根据具体的业务需求，设置合适的选项，从而保障网站的安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/65c1ed9badd4f0e0ffbec5a1