问题是安全界在这里解决一些误解。

症结所在：

• 公司 (Wire) 有一个客户端 (official-client.com) 和一个服务器代码 (例如 official-server.com )。
• CORS 目前允许 official-client.com 访问 official-server.com，但 unofficial-client.com 无权访问 official-server.com
• 官方客户端的代码可用于自定义应用程序重用（假设托管在 unofficial-client.com 上）

这里的用例很简单：向其他人公开受身份验证保护的 API 服务。而“其他”的定义目前仅设置为“official-client.com”。

问： 没有有什么好处？

Access-Control-Allow-Origin: *

引用另一篇文章，如果应用程序通过限制对一个域的资源访问来依赖其安全性（因为可以使用 DNS/本地主机伪造该域），则该应用程序似乎并不安全。但这不是真正的问题。

我错过了什么？