동일한 IP에서 코러스 방지

Question

우리 직원들이 동일한 IP를 사용하기 때문에 내부 용으로 개발할 위험이 있습니다. 따라서 휴식 요청을 보내고 무언가를 DB에 삽입 할 수 있습니다. 심지어 스크립트를 축소하고 네트워크 탭으로 이동하여 요청을 볼 수 있습니다.

이 경우 Cors를 적용하는 방법은 무엇입니까?

Answer 1

수 없습니다.

신뢰할 수있는 사람이 방문한 신뢰할 수없는 웹 사이트는 방문자의 브라우저를 사용하여 서버에 요청하고 서버에서 데이터를 도용하지 못하도록합니다.

CORS는 타사 웹 사이트가있는 경우 동일한 출처 정책을 선택적으로 사용하지 않도록 설정합니다. 은 데이터를 신뢰합니다.

데이터베이스를 변경할 수있는 사용자가 있지만 사용자가 부여한 클라이언트 측 UI를 통해서만 문제가 해결되는 것은 아닙니다.

이 문제를 해결하려면 서버 쪽 인증 로직이 필요합니다.

간단한 예를 들어 사용자가 ID를 전송하여 댓글을 삭제할 수 있도록하는 REST API가있는 경우 요청에 사용자 이름과 비밀번호 (또는 인증을위한 다른 양식)가 포함되어야합니다. 너가 요청하는 을 알 수 있습니다. 요청을 보낸 사람을 알았 으면 사용자가 주석을 삭제할 수있는 권한이 있는지 확인해야합니다. 일반적으로 논리는 다음과 같습니다.

if (comment.owner == user || user.has_role("admin")) { 
    comment.delete(); 
} else { 
    response.status.unauthorised(); 
    response.send(); 
}