跨域安全危机迫在眉睫，PHP后端必须部署的6道防火墙

第一章：跨域安全危机的现状与挑战

现代Web应用架构日益复杂，跨域请求已成为前端与后端、微服务之间通信的常态。然而，跨域资源共享（CORS）机制在提供便利的同时，也引入了严重的安全隐患。攻击者可利用配置不当的CORS策略实施跨站请求伪造（CSRF）、敏感信息泄露等攻击。

常见跨域安全风险

• 宽松的Access-Control-Allow-Origin: *配置导致任意域均可访问API
• 未校验Origin请求头，使恶意站点可伪造来源
• 允许凭据传输（credentials: true）但未严格限制源，增加会话劫持风险

典型漏洞代码示例

// 错误示范：无条件允许所有跨域请求 app.use((req, res, next) => { res.header('Access-Control-Allow-Origin', '*'); // 危险！ res.header('Access-Control-Allow-Methods', 'GET, POST'); res.header('Access-Control-Allow-Headers', 'Content-Type'); next(); });

上述代码将API暴露给任意第三方网站，攻击者可通过构造恶意页面发起带凭据的请求，窃取用户数据。

安全策略对比表

策略类型	安全性	适用场景
允许所有源 (*)	低	公开API，无敏感数据
白名单校验	高	企业内部系统、用户敏感操作
动态反射Origin	中	多租户平台，需谨慎校验

推荐防御措施

1. 严格校验请求中的Origin头，仅允许可信域名
2. 避免在包含敏感信息的响应中使用通配符
3. 结合 CSRF Token 与 SameSite Cookie 策略增强防护

第二章：理解CORS机制及其安全风险

2.1 CORS同源策略原理与浏览器行为解析

同源策略的安全基石

同源策略（Same-Origin Policy）是浏览器的核心安全机制，限制了不同源的文档或脚本如何交互。所谓“同源”，需协议、域名、端口三者完全一致。该策略防止恶意站点读取另一站点的敏感数据。

跨域资源共享机制

CORS（Cross-Origin Resource Sharing）通过HTTP头字段实现跨域授权。浏览器在跨域请求时自动附加Origin头，服务器通过返回Access-Control-Allow-Origin决定是否许可。

GET /data HTTP/1.1 Host: api.example.com Origin: https://malicious.com HTTP/1.1 200 OK Access-Control-Allow-Origin: https://trusted.com Content-Type: application/json

上述响应因源不匹配，浏览器将拒绝前端JavaScript访问响应内容。

预检请求与实际行为

对于非简单请求（如带自定义头），浏览器先发送OPTIONS预检请求，验证服务器策略。服务器必须正确响应Access-Control-Allow-Methods和Access-Control-Allow-Headers，否则请求被拦截。

2.2 常见跨域攻击手法剖析（如JSONP劫持、预检绕过）

JSONP劫持：利用回调函数泄露数据

早期Web应用常通过JSONP实现跨域请求，但其本质是动态注入