技术选型：CORS与DPOP如何抉择？

CORS和DPOP虽都指向资源服务器的访问安全，但本质是完全不同的机制，选哪个得看你要解决的核心问题：

选CORS的场景 #

• 你在做浏览器端的跨域请求：比如单页应用（SPA）、前端静态页面要从域名A请求域名B的API。浏览器有同源策略限制，默认会拦截跨域请求，这时候必须在资源服务器配置CORS规则，指定允许的请求来源、HTTP方法、自定义头信息等，让浏览器放行合法的跨域请求。CORS的核心是解决"浏览器不让跨域请求发出去"的问题，和令牌安全无关。
• 你的应用只需要控制跨域访问的合法性，无令牌被盗用的风险顾虑：比如公开的无需认证的API，只需要限制哪些域名能访问它，这时候CORS就足够了。

选DPOP的场景 #

• 你在用OAuth2的Bearer令牌，担心令牌被盗用：Bearer令牌是无状态的，一旦被截获，攻击者可以直接拿着它调用API。DPOP会让客户端每次请求都生成一个和自身密钥绑定的证明，资源服务器会验证这个证明和令牌的绑定关系，就算令牌泄露，没有对应的客户端密钥也没法发起有效请求。DPOP的核心是解决"令牌被偷了也能用"的问题，和跨域无关。
• 你的客户端是非浏览器环境（比如后端服务、移动端APP）：这类客户端不受同源策略限制，不需要CORS，但如果用了Bearer令牌，用DPOP能大幅提升令牌的安全性。

两者可以结合使用 #

很多实际场景中，两者是互补的：比如SPA既需要CORS来允许跨域请求到达资源服务器，又需要DPOP来防止令牌被盗用后被滥用。这种情况下，资源服务器既要配置CORS规则，也要开启DPOP验证逻辑。

内容的提问来源于stack exchange，提问作者raneshu