最近 PortSwigger（Burp Suite 背后的人）发表了一篇博客文章，讨论与 CORS 错误配置相关的安全风险。

http://blog.portswigger.net/2016/10/exploiting-cors-misconfigurations-for.html

总而言之，该博客讨论了启用 CORS 的不安全方式，这可能允许恶意网站从目标站点读取数据。接近尾声时，博客谈到了一种涉及Vary: Origin标头的预防机制：

如果您查看 CORS 规范中的“实施注意事项”部分，您会注意到它指示开发人员在动态生成 Access-Control-Allow-Origin 标头时指定“Vary: Origin”HTTP标头。

Access-Control-Allow-Origin在动态生成标头（由客户端控制 ）的情况下，我很难理解 Vary 标头如何帮助防止 CORS 攻击（使用缓存中毒的 XSS ）。