CORS untuk Spring Boot
medium4 titik pemeriksaan
CORS menentukan origin mana yang boleh membaca respons API. Wildcard mengubah API terautentikasi menjadi API publik.
Yang harus ada di Spring Boot
- Access-Control-Allow-Origin hanya untuk origin yang diketahui
- Tidak ada wildcard yang digabung dengan credentials
- Tidak memantulkan header Origin sembarang
- Preflight hanya mengizinkan metode yang benar-benar dipakai
Cara memperbaiki
- 1Ganti wildcard dengan allowlist eksplisit
- 2Validasi Origin sebelum memantulkannya dan tolak origin tak dikenal lebih awal
Konteks Spring Boot
Java application framework with auto-configuration and embedded servers.
Actuator endpoints leak heap dumps and environment variables when exposed; restrict /actuator.