什么是 CORS？
CORS（Cross-Origin Resource Sharing）是一种浏览器安全机制，用于限制跨域请求。跨域请求是指从一个源（协议、主机和端口）向另一个源发起的 HTTP 请求。CORS 机制通过在 HTTP 头部添加一些字段来告诉浏览器是否允许跨域请求。
为什么要防范 CORS 攻击？
CORS 攻击是一种利用浏览器的安全漏洞实现的攻击方式。攻击者通过伪造 HTTP 头部中的 Origin 字段，来绕过浏览器的同源策略，从而实现跨域请求。攻击者可以通过跨域请求获取用户的敏感信息，或者在用户不知情的情况下进行一些恶意操作，如 CSRF（Cross-Site Request Forgery）攻击等。
Hapi 如何防范 CORS 攻击？
Hapi 是一款 Node.js 的 web 框架，提供了一些内置的安全机制来防范常见的攻击方式，包括 CORS 攻击。Hapi 提供了一个插件 hapi-cors，可以轻松地配置 CORS 机制。
安装 hapi-cors 插件
--- ------- ---------
启用 hapi-cors 插件
----- ---- - ----------------------
----- -------- - ---------------------
----- ------ - -------------
----- -----
----- -----------
---
----- ---- - ----- -- -- -
----- -----------------
------- ---------
-------- -
-------- ------ -- --------
-------- ------- ------- ------ ---------- -- --- ---- --
-------- ---------- ---------------- --------------- ----------------- -- ------
------- --- -- -------------
------------ ---- -- ------ ------
-
---
----- ---------------
------------------- ------- --- ---------------------
--
-------配置 hapi-cors 插件
hapi-cors 插件提供了以下选项：
origins：允许跨域请求的源，可以是一个字符串或一个数组。如果是一个字符串，表示允许所有源发起请求。如果是一个数组，表示允许指定的源发起请求。methods：允许的 HTTP 方法，可以是一个字符串或一个数组。如果是一个字符串，表示允许所有 HTTP 方法。如果是一个数组，表示允许指定的 HTTP 方法。headers：允许的请求头，可以是一个字符串或一个数组。如果是一个字符串，表示允许所有请求头。如果是一个数组，表示允许指定的请求头。maxAge：预检请求的有效期，单位为秒。如果设置为 0，表示每次都要发送预检请求。如果设置为 -1，表示不需要发送预检请求。credentials：是否允许发送 Cookie。如果设置为 true，表示允许发送 Cookie。如果设置为 false，表示不允许发送 Cookie。
示例代码
以下是一个示例代码，演示如何使用 hapi-cors 插件防范 CORS 攻击：
----- ---- - ----------------------
----- -------- - ---------------------
----- ------ - -------------
----- -----
----- -----------
---
----- ---- - ----- -- -- -
----- -----------------
------- ---------
-------- -
-------- -------------------------- -- -- --------------------- ----
-------- ------- -------- -- --- --- - ---- --
-------- ---------- ---------------- ---------------- -- --------
------- --- -- --------- -- -
------------ ---- -- ---- ------
-
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ ------- --------
-
---
----- ---------------
------------------- ------- --- ---------------------
--
-------结论
CORS 攻击是一种常见的安全漏洞，可以通过伪造 HTTP 头部中的 Origin 字段来绕过浏览器的同源策略，从而实现跨域请求。Hapi 提供了一个插件 hapi-cors，可以轻松地配置 CORS 机制，来防范此类攻击。在实际开发中，我们应该根据自己的需求来配置 hapi-cors 插件，以提高应用的安全性。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/673c6f4a7088281697c84197