html5 – Wie sollte der Access-Control-Allow-Origin des CORS-Mechanismus eingestellt werden?
Um cors domänenübergreifend zu verwenden, muss der Zielserver Ihren Host in Access-Control-Allow-Origin hinzufügen oder Access-Control-Allow-Origin auf * setzen. Wenn der Zielserver ein Dritter ist, erscheint es für ihn unrealistisch, mich hinzuzufügen. Wenn es sich um eine öffentliche API handelt, kann sie nicht hinzugefügt werden. Ist sie in diesem Fall auf * gesetzt? Gibt es Probleme mit XSS-Angriffen, wenn auf * gesetzt ist, um Anfragen von jedem Domänennamen zu akzeptieren?
