[krzykrzy1995]

#cors #programowanie #javascript
W sumie tak sie zastanawiam, ze sam mechanizm CORS bardzo latwo obejsc przez proxy server, wiec de facto przed czym nas chroni? Czy czegos nie rozumiem ( pewnie tak jest ( ͡° ͜ʖ ͡°) )

[lobo]

@krzykrzy1995: Nie obejdziesz przez proxy, bo niby jak będziesz miał dostęp do dozwolonej domeny?

[krzykrzy1995]

@lobo: proxy, to jakis server ( powiedzmy w node,js ), wiec mi przegladarka nie zakaze czytania response.

Zly facebook -> proxy -> strzela do facebooka
dobry Facebook odpowiada -> proxy -> Zly facebook ( czyta response )

[lobo]

@krzykrzy1995: A skąd będziesz miał autoryzacje do danych fb? Przecież nie dostaniesz ciastek fb jak będą nie do prawidłowej domeny w najlepszym wypadku dostawałby stronę logowania fb a nie dane jego konta.

[krzykrzy1995]

@lobo: Ok.. nie wysla sie, bo zla domena podpieta.
W takim razie.. co takiego daje CORS? Jakis zyciowy przyklad w ktorym naprawde CORS ochroni czlowieka?

[krzykrzy1995]

@lobo: dobra.. sam sobie odpowiedzialem przeciez.. Skoro przez proxy nie przejde, to gdyby nie CORS, to moglbym zrobic request do dobrego facebooka ( bez proxy ) i mamy wyciek danych ( ale CORS nie pozwoli ), tak?

[lobo]

@krzykrzy1995: No gdybym zrobił stronę ze skryptem celującym do jakiejś średnio zabezpieczonej strony w internecie, załóżmy, że masz tam konto i jesteś zalogowany mógłbym wykonywać akcje twoim kontem jakbyś tylko otworzył moją stronę, albo wcisnąłbym bym na jakąś stronę ramkę z moją stroną np. jako reklamę.

[lobo]

@krzykrzy1995: Dokładnie, tylko ktoś musiałby wejść na twoją stronę kiedy byłby zalogowany na facebooku.

[krzykrzy1995]

@lobo: czaje, dziekuje :)

[lobo]

@krzykrzy1995: A jest jeszcze jedna rzecz, wyobraź sobie, że masz stronę jak wykop gdzie ludzie mogą komentować i przez błąd wstawiać obrazki, cors może być tak ustawiony żeby blokować ładowanie tych obrazków z niedobrych domen

[krzykrzy1995]

@lobo: od tego nie jest CSP?

[Pasterz30]

@krzykrzy1995: @lobo cors bazuje jedynie na naglowkach Host, Origin i Accept. Jeeli wyslesz go przez proxy server to serwer nie odrozni czy jestes przegladarka czy nie (ofc tam jeszcze trzeba by user agenta podmienic itd ale sam mechanizm cors ma to w dupie). Wiec jezeli Twoja przegladarka wywala Ci info ze Twoj host nie jest akceptowany to oczywiscie mozesz go w proxy serverze podmienic na jaki se chcesz dodajac origin i

[krzykrzy1995]

@Pasterz30: to w takim razie, kazdy proxy serwer moze obejsc CORSy

[Pasterz30]

@krzykrzy1995 corsy troche do czego innego sluza, tu fajny watek na reddit przeczytaj sobie https://www.reddit.com/r/webdev/comments/xxx4d4/why_does_cors_exist_if_you_can_bypass_it_by/