我有一个domain/logout.php - 文件来记录用户。据我了解，黑客可以在他的网站上让受害者通过credentials向我的服务器发送CORS请求。这会将请求发送到我的服务器，它会注销用户，但由于我的服务器没有发回正确的标题，受害者浏览器将不会显示domain/logout.php的输出。
因此，黑客可以使用CORS发送执行更多恶意的请求，而不仅仅是注销用户，但只要服务器不包含正确的CORS标头，它就不会得到服务器的响应。
为什么W3C在有这个安全漏洞的时候真的实现了这个呢？
答案 0 :(得分：1)
我觉得你对CORS感到困惑。 CORS标头由服务器发送，不属于任何客户端的请求。如果客户支持他们，他们就会解释他们。
其次，如果您正在处理客户端脚本，特别是jquery和javascript ajax，这一点就变得很重要了。对于服务器到服务器之间的通信，任何人都不需要CORS来记录您的客户。
对于您的注销表单的任何外部请求，客户端首先必须在“注销”之前登录，否则无法注销。
对于PHP - PHP通信，您不需要CORS。您需要防止未经授权的访问，特别是对于发生数据库操作的区域