CORS untuk Cloudflare Workers
medium4 titik pemeriksaan
CORS menentukan origin mana yang boleh membaca respons API. Wildcard mengubah API terautentikasi menjadi API publik.
Yang harus ada di Cloudflare Workers
- Access-Control-Allow-Origin hanya untuk origin yang diketahui
- Tidak ada wildcard yang digabung dengan credentials
- Tidak memantulkan header Origin sembarang
- Preflight hanya mengizinkan metode yang benar-benar dipakai
Cara memperbaiki
- 1Ganti wildcard dengan allowlist eksplisit
- 2Validasi Origin sebelum memantulkannya dan tolak origin tak dikenal lebih awal
Konteks Cloudflare Workers
Serverless edge runtime executing JavaScript at the CDN layer.
Secrets belong in Worker bindings; anything bundled into the script is readable by reviewers.