.NET 6中CORS用AnyMethod和AnyHeader是否安全？无认证API如何配置？

你现在把CORS设成允许所有源、任意方法和请求头，结合你的场景（数据公开无敏感信息、可从其他公开渠道获取），不会直接导致敏感数据泄露，但也不是完全没隐患：

• 任何网站都能直接调用你的API，可能被恶意站点批量爬取，消耗服务器资源；
• 万一以后API加了敏感接口，忘了改CORS配置，直接就把敏感数据暴露了，等于埋了个坑。

针对你的需求（仅供个人使用的公开数据API），可以这么优化：

1. 精准限制允许的源
   • 如果只有你自己的网站要用，直接写死你的域名就行，示例代码：

     builder.Services.AddCors(options =>
     {
         options.AddPolicy("PersonalUsePolicy", policy =>
         {
             policy.WithOrigins("https://your-personal-site.com")
                   .AllowAnyMethod()
                   .AllowAnyHeader();
         });
     });
     

   • 如果确实要开放给任意个人用，但不想让所有网站都能调用，可允许本地开发的端口（比如http://localhost:5173）加上你常用的几个域名，或者暂时保留*但搭配限流。
2. 只开放必要的HTTP方法
   你的API就是用来下载数据的，只允许GET方法足够，别给多余的权限：

   policy.WithMethods("GET");
   

3. 限制请求头
   不需要允许所有请求头，只保留Accept、Content-Type这些必要的就行：

   policy.WithHeaders("Accept", "Content-Type");
   

4. 加个简单限流
   防止别人批量爬取耗资源，用.NET的RateLimiter中间件就能实现，比如限制每个IP每分钟最多请求10次。

• CSRF风险：现在你只有GET请求，CSRF风险几乎为0，但以后要是加了POST/PUT这类修改操作，宽松的CORS会让CSRF攻击变得容易，所以提前限制方法很关键；
• 资源耗尽：无认证+无限制CORS，很容易被爬虫薅羊毛，服务器带宽、CPU可能被占满，必须加限流；
• 配置遗忘：以后加新接口的时候，一定要检查CORS策略，别把敏感接口不小心暴露给所有源。

内容的提问来源于stack exchange，提问作者Fandango68