Agent Skills
返回列表
💻

CORS 跨域配置错误

开发编程 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/cors-cross-origin-misconfiguration-lr-p6jr 技能到当前 AI 助手。

技能介绍

要解决的具体问题

当浏览器携带凭证（如 Cookie 或 HTTP 认证）发起跨域请求时，后端若错误配置 CORS，可能导致攻击者站点读取用户的敏感响应。常见问题包括：将 Access-Control-Allow-Credentials 设为 true 的同时无条件反射任意 Origin，或与通配符 * 错误组合；解析器未正确处理边缘情况导致白名单绕过。这类问题在开发中常被误认为“正常支持跨域”，却为数据窃取留下了缺口。

技能如何工作

  • 识别触发条件：当响应包含 Access-Control-Allow-Origin、Access-Control-Allow-Credentials 或预检头，且涉及已认证 API 时触发。
  • 高价值配置检查：针对带凭证源反射、通配符信任、解析错误以及基于 Host 或 Origin 头的白名单绕过进行审计。
  • 边界场景覆盖：处理沙盒 iframe 产生的 null 源，以及本地双站实验环境（如 localhost:8981 与 localhost:8982）的测试模式。

适用边界与注意点

  • 本技能聚焦于 CORS 配置逻辑缺陷，不替代网络层隔离或身份验证机制审查。
  • 若需深入 JSONP 劫持、同源策略内部原理或 CORS 与 JSONP 的对比，应加载配套的 SCENARIOS.md。
  • 仅用于授权环境下的安全审计与漏洞验证。

使用场景

  • 审计后台已登录接口的响应头，确认带凭证请求是否被错误反射任意来源。
  • 排查前端调用认证 API 时，是否存在第三方站点能读取敏感响应的跨域漏洞。
  • 验证服务端解析 Origin 头的逻辑，测试白名单是否可被头部伪造绕过。
  • 在本地搭建 localhost:8981 与 8982 双站环境，复现跨域数据窃取链路。

适合人员

  • 后端工程师：需要审查线上接口的 CORS 配置是否存在信任边界问题。
  • 前端工程师：调试跨域请求失败或数据意外暴露，需要确认响应头设置是否正确。
  • 安全审计人员：评估已认证 API 的跨域策略，输出可复现的漏洞验证报告。
  • 平台运维：维护第三方接入的 Origin 白名单，防止配置错误被利用。