瀏覽標記為 web security 的 2 篇筆記。

#web security

CORS 從頭學：請求送出、Cookie 與回應可讀，分開看才不會亂改

用白話流程與 fetch 範例，拆解 origin、OPTIONS 預檢、credentials、Cookie、Allow／Expose 標頭及 DevTools 除錯。理解 API 已執行卻讀不到回應的原因。

CSP 的 Report-Only 階段不是暫停保護，而是用違規報告辨認真正依賴、雜訊與舊寫法；之後再以 nonce、hash 與最小權限安全上線。