如何仅允许同域iframe调用Spring后端API？

咱们先直接回答你的核心问题：设置CORS头允许Origin为http://example.com是有效且安全的，但要搭配其他手段形成完整的防护体系，下面详细拆解：

一、CORS Origin校验的可靠性 #

首先要明确：浏览器的同源策略下，Origin请求头是不能被前端JavaScript篡改的——这个头是浏览器自动为跨域请求添加的，脚本没有权限修改它。只要你的iframe确实是从http://example.com加载的，那么它发起的所有跨域请求都会带上Origin: http://example.com，后端只需要精确校验这个值就能确保请求来自你的iframe，而不是客户页面的脚本或者其他第三方网站。

对比你之前考虑的Referer头：这个字段确实容易被伪造（比如通过页面meta标签、浏览器插件甚至某些浏览器设置），而且在HTTPS转HTTP等场景下浏览器会自动省略Referer，用它做安全校验风险极高，完全不推荐。

二、更完善的安全防护方案 #

CORS是浏览器层面的防护，能挡住前端非法请求，但如果有人用Postman、curl这类非浏览器工具直接调用你的API，Origin头可能不存在或者可以随意构造，所以还需要配合服务器端的验证机制：

• 专用API密钥：给你的iframe前端分配一个唯一的API密钥，请求时通过自定义头（比如X-Iframe-API-Key）传递。后端先校验Origin，再校验这个密钥的合法性。因为iframe和客户页面是跨域的，客户页面的JS无法读取iframe内的密钥，所以不会泄露。
• 会话绑定验证：如果你的iframe需要用户登录，那就基于会话Cookie做验证——只有携带合法登录会话的请求才能访问API，同时结合Origin校验，双重保障。
• 请求签名机制（进阶）：对请求的参数、时间戳和API密钥一起生成签名，后端验证签名的有效性。这样即使密钥被意外泄露，攻击者也无法随意构造有效请求，安全性更高。
• IP白名单（可选）：如果你的后端API只需要被iframe所在服务器的IP访问，可以设置IP白名单，但这个方案灵活性差，适合固定IP的部署场景。

三、关键注意事项 #

• 后端的Origin校验一定要精确匹配，不要用*通配符，也不要做模糊匹配（比如只检查包含example.com），避免被恶意域名绕过。
• 确保你的iframe代码里的敏感信息（比如API密钥）不会被客户页面的脚本获取到——因为跨域隔离，正常情况下客户页面无法访问iframe的DOM或全局变量，但也要避免在iframe的URL参数里传递敏感信息。

内容的提问来源于stack exchange，提问作者Tahniat Ashraf