能否从外部网站调用本地服务？相关安全风险咨询

问题1：浏览外网时，恶意JS会不会窃取localhost服务的数据？ #

是的，完全有可能。当你打开恶意外网页面时，页面里的恶意JavaScript会在你的浏览器环境中运行，而浏览器默认允许脚本向localhost发起请求——毕竟localhost属于你的本地网络，不会被浏览器直接拦截。

恶意脚本可以悄悄发起GET/POST请求到localhost:8080，获取本地服务返回的数据（比如未做权限校验的用户信息、后台接口数据），再把这些数据发送到攻击者控制的远程服务器，完成数据窃取。

问题2：本地服务CORS宽松的话，是不是高危攻击向量？ #

绝对是需要警惕的高危风险，具体情况如下：

• 如果本地服务设置了宽松的CORS规则（比如Access-Control-Allow-Origin: *，允许任意来源访问），浏览器会直接允许恶意脚本读取请求的响应内容，攻击者能毫无阻碍地拿到敏感数据。
• 就算CORS做了来源限制，恶意脚本还能利用简单请求的特性（比如GET、HEAD请求，或者POST发送application/x-www-form-urlencoded格式数据）——这类请求不会触发预检OPTIONS请求，攻击者可以通过这类请求窃取数据（比如通过响应状态、返回内容长度推断信息），甚至执行未授权的操作（比如本地服务有修改数据的接口且未做权限校验）。

防范建议 #

• 给本地服务配置严格的CORS策略：只允许http://localhost:8080这类可信的本地域名访问，不要使用通配符。
• 本地服务的接口必须做好身份验证和权限控制，别迷信“只有本地能访问”就放松安全——localhost并非绝对安全的环境。
• 浏览陌生网站时，尽量使用隐私模式，或者暂时关闭不需要的本地服务，缩小攻击面。

内容的提问来源于stack exchange，提问作者janst