生产环境能否使用CrossOrigin通配符*？与指定源配置有何差异及风险？

1. 生产环境中是否可以使用CrossOrigin通配符*？ #

仅完全公开、不需要请求携带身份凭证的公共API场景可以谨慎使用，其余涉及用户登录态、敏感数据交互的业务场景绝对不建议在生产环境使用通配符*，优先用明确指定跨域源的配置。

2. 使用指定跨域源与使用通配符*有什么区别？ #

两者核心区别如下：

• 凭证支持能力不同：配置通配符@CrossOrigin(origins = "*")时，浏览器会强制禁止跨域请求携带Cookie、Authorization头、客户端SSL证书等身份凭证，哪怕前端设置了withCredentials = true也不会生效；如果配置为指定源，比如@CrossOrigin(origins = "http://localhost:8080")，就可以正常支持带凭证的跨域请求，只要前后端配置匹配即可。
• 允许访问的范围不同：通配符*允许所有域名跨域访问接口，指定源仅允许你明确列出来的域名跨域访问接口。
• 功能限制不同：部分浏览器的高级特性（比如跨域下的Service Worker、HTTP/2服务端推送等）对通配符跨域配置有限制，指定源配置不会触发这类限制。

3. 配置为通配符*时是否存在安全问题？ #

存在明确的安全风险：

• 若你的接口存在未授权即可访问的敏感数据，任意恶意网站都可以直接通过前端跨域请求拉取数据，造成数据泄露。
• 若后续业务迭代需要放开跨域凭证支持，通配符* + 允许凭证的配置组合会直接产生CSRF漏洞，恶意网站可以在用户登录你的站点的状态下，冒用用户身份调用接口执行敏感操作。
• 通配符配置会扩大站点的攻击面，更容易被爬虫、钓鱼站点利用作为数据抓取的跳板。

内容的提问来源于stack exchange，提问作者user16732644