Access-Control-Allow-Origin 不允许 Origin null

服务器

文章，主题为「Access-Control-Allow-Origin 不允许 Origin null」。文章将讨论跨源资源共享（CORS）中的 Access-Control-Allow-Origin 头部字段，并解释为什么不允许将其设置为 Origin null。最后，将提供一个案例代码来说明这个问题。

在进行跨源资源共享时，浏览器会使用 CORS 机制来决定是否允许当前网页请求其他源（域名、协议或端口）的资源。CORS 通过在服务器的响应头部中添加一些字段来实现。其中，Access-Control-Allow-Origin 是一个非常重要的字段，用于指定哪些源被允许访问服务器的资源。

为什么不允许将 Access-Control-Allow-Origin 设置为 Origin null？

Access-Control-Allow-Origin 字段可以设置为特定的源，例如指定为 "https://example.com"，这样只有来自该源的请求才会被允许访问服务器资源。另一种常见的设置是将其设置为 "*"，表示允许任何来源的请求。

然而，根据 CORS 规范，Access-Control-Allow-Origin 字段不允许被设置为 "null"。这是因为 "null" 是一个特殊的 Origin 值，表示当前网页的协议为 file://，即在本地文件系统中打开的网页。在这种情况下，将 Access-Control-Allow-Origin 设置为 "null" 可能导致安全漏洞。

案例代码

为了更好地说明这个问题，我们来看一个案例代码。假设我们有一个网页文件 index.html，它是通过 file:// 协议打开的。我们在该网页中使用 JavaScript 发送一个跨源请求到 https://example.com，并尝试将 Access-Control-Allow-Origin 设置为 "null"：

Javascript
// index.html
fetch('https://example.com/api/data', {
  method: 'GET',
  mode: 'cors',
  headers: {
    'Access-Control-Allow-Origin': 'null'
  }
})
  .then(response => response.JSon())
  .then(data => console.log(data))
  .catch(error => console.error(error));

当我们运行这段代码时，浏览器会拒绝这个请求，并抛出一个错误。错误消息中可能会显示类似以下内容：

Access to fetch at 'https://example.com/api/data' from origin 'null' has been blocked by CORS policy: The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'. The credentials mode of requests initiated by the XMLHttpRequest is controlled by the withCredentials attribute.

这个错误提示表明我们不允许将 Access-Control-Allow-Origin 设置为 "null"，特别是当使用了带有凭证的请求时。这是因为设置为 "null" 可能会导致来自本地文件系统的网页能够访问其他域的敏感数据，从而引发安全问题。

在实际开发中，如果你需要在本地文件系统中打开网页并进行跨源请求，你应该将 Access-Control-Allow-Origin 设置为具体的源，而不是 "null"。这样可以避免潜在的安全风险，并确保你的应用程序能正常工作。

在跨源资源共享（CORS）中，Access-Control-Allow-Origin 是一个重要的字段，用于控制哪些源可以访问服务器资源。然而，根据 CORS 规范，不允许将 Access-Control-Allow-Origin 设置为 "null"，因为这可能导致安全漏洞。在实际开发中，我们应该将其设置为具体的源，以确保应用程序的安全性和正常运行。

希望本文能帮助你更好地理解 Access-Control-Allow-Origin 字段的限制，以及为什么不允许将其设置为 Origin null。通过合理设置跨源资源共享的相关头部字段，我们可以确保网络应用程序的安全性和可靠性。