В чем безопасность CORS

CORS (Cross-Origin Resource Sharing) — механизм безопасности, который ограничивает доступ к ресурсам на другом домене (origin). Он предотвращает атаки, такие как CSRF (межсайтовая подделка запроса), запрещая браузеру выполнять запросы к другому домену без явного разрешения.

Как это работает:

1. Браузер отправляет предварительный запрос (preflight) OPTIONS с заголовками Origin, Access-Control-Request-Method, если запрос сложный (например, с нестандартными заголовками).
2. Сервер отвечает заголовками Access-Control-Allow-Origin, Access-Control-Allow-Methods, указывая разрешенные домены и методы.
3. Если домен разрешен, браузер выполняет основной запрос.

Пример настройки CORS в Flask:

from flask import Flask, jsonify
from flask_cors import CORS

app = Flask(__name__)
CORS(app, resources={r"/api/*": {"origins": "https://trusted-domain.com"}})

@app.route("/api/data")
def get_data():
    return jsonify({"data": "secure"})

Безопасность обеспечивается:

• Ограничением доменов (Access-Control-Allow-Origin).
• Запретом выполнения запросов с credentials (куки, авторизация) без явного разрешения (Access-Control-Allow-Credentials: true).
• Проверкой методов и заголовков на сервере.