React访问Express API遇CORS限制，绕过Chrome安全设置后质疑其安全性

首先要明确：你用google-chrome --user-data-dir="~/chrome-dev-disabled-security" --disable-web-security --disable-site-isolation-trials启动浏览器能绕过CORS，是因为你主动禁用了浏览器的核心安全机制——这是开发者调试时的特殊操作，完全不属于普通用户的正常使用场景，不能以此否定CORS的安全性。

CORS的核心作用是什么？ #

CORS（跨源资源共享）是为了平衡浏览器同源策略的安全性和合法跨域需求而设计的：

• 浏览器的同源策略默认阻止跨域请求，是为了防止恶意网站利用用户已登录的身份（比如Cookie、会话令牌），在用户不知情的情况下请求其他网站的敏感数据（比如银行账户信息、个人隐私数据）。
• 但实际开发中，前后端分离、第三方API调用等场景需要合法跨域，CORS让服务器可以主动配置：允许哪些域名访问、支持哪些HTTP方法、是否允许携带用户凭证等，既满足业务需求，又守住安全边界。

CORS真的能提供安全保障吗？ #

当然能。CORS的安全保障是针对普通用户的正常浏览器使用场景的：

• 普通用户不会主动禁用浏览器的安全设置，浏览器会严格执行CORS规则，只有服务器明确授权的域名才能发起跨域请求，恶意站点的非法跨域请求会被直接拦截。
• 你用命令绕过的行为，相当于主动打开了浏览器的“安全后门”，这和CORS本身的安全机制无关，就像你自己把家门钥匙给了陌生人，不能怪门锁不安全。

哪些场景下CORS能有效保护Web应用？ #

• 第三方开放API场景：比如地图API、支付API，通过CORS限制只有经过授权的合作域名能调用，防止恶意站点滥用接口消耗资源或获取敏感数据。
• 前后端分离的业务系统：比如电商网站的前端域名是shop.example.com，后端API是api.example.com，通过CORS只允许shop.example.com访问API，避免其他站点利用用户的登录Cookie窃取订单、个人信息。
• 后台管理系统：企业内部的后台API，通过CORS限制只有公司内部的前端域名能访问，防止外部站点非法获取企业内部数据。
• 带有用户敏感数据的接口：比如用户的个人信息、账户余额查询接口，CORS确保只有信任的前端能请求这些数据，避免被钓鱼网站或恶意脚本窃取。

内容的提问来源于stack exchange，提问作者Harsh Bansal