我正在开发一个Web应用程序,其中数据将通过REST API对前端和各种客户端(
这通常如何解决?我应该为API使用两个不同的端点,一个用于公共访问,另一个用于与我的前端一起使用吗?我需要一些建议。
curl
和其他工具)可访问。前端和后端都在同一域上。我想使用CORS来保护我的前端,这给我带来了困境。如果我将Access-Control-Allow-Origin
设置为*
,那么所有其他客户端都将能够访问API,但是我的前端将更加容易受到攻击。另一方面,将其设置为我的域名会强制客户端提供(伪造的)Origin
标头,并有效地禁止使用浏览器作为客户端(通过不同域上的前端)。这通常如何解决?我应该为API使用两个不同的端点,一个用于公共访问,另一个用于与我的前端一起使用吗?我需要一些建议。