은 어떻게 CORS 필터는 XSS 공격으로부터 나를 보호 않습니다

Question

I CORS 필터의 다음과 같은 구현이 :

@Singleton 
@Provider 
public class CORSFilter implements ContainerResponseFilter { 

    @Override 
    public void filter(ContainerRequestContext requestContext,  ContainerResponseContext responseContext) throws IOException { 
     final int ACCESS_CONTROL_MAX_AGE_IN_SECONDS = 12 * 60 * 60; 
     MultivaluedMap<String, Object> headers = responseContext.getHeaders(); 

     headers.add(ACCESS_CONTROL_ALLOW_ORIGIN, "*"); 
     headers.add(ACCESS_CONTROL_ALLOW_HEADERS, "origin, content-type, accept, authorization"); 
     headers.add(ACCESS_CONTROL_ALLOW_CREDENTIALS, "true"); 
     headers.add(ACCESS_CONTROL_ALLOW_METHODS, "GET, POST, PUT, DELETE, OPTIONS, HEAD"); 
     headers.add(ACCESS_CONTROL_MAX_AGE, ACCESS_CONTROL_MAX_AGE_IN_SECONDS); 

    } 
} 

출처 : 그러나

https://gist.github.com/yunspace/36b0546245c5348a34ed

, 난 아직도 이해가 안 돼요을 이렇게하면 XSS와 브라우저가 추가 된 헤더를 처리하는 방식을 방지해야합니다. 이 코드는 어떻게 XSS 공격으로부터 나를 보호합니까?

Answer 1

CORS는 XSS로부터 사용자를 보호하지 않습니다.

동일한 원본 정책 (SOP)은 한 도메인이 다른 도메인의 클라이언트 측 데이터를 가져 오지 못하게합니다.

CORS는 클라이언트 측 데이터를 얻을 수 있도록 CORS가 허용하는 다른 도메인을 허용합니다.

XSS는 동일한 공격을합니다.

CORS를 사용하지 않으면 SOP가 기본 "보안"모드이므로 웹 사이트가 더 안전합니다. CORS를 사용하면 SOP 규칙의 보안이 느려집니다.

XSS는 CORS가 활성화되어 있는지 여부에 상관없이 XSS 취약점이있는 경우 올바른 인코딩과 CSP (Content Security Policy)를 구현하여이를 완화해야합니다.