Межсайтовый скриптинг (XSS) — это распространенная уязвимость веб-безопасности, которая позволяет злоумышленникам внедрять вредоносные скрипты в веб-страницы, просматриваемые ничего не подозревающими пользователями. Одной из эффективных мер противодействия XSS-атакам является совместное использование ресурсов между источниками (CORS). В этой статье мы рассмотрим, как CORS помогает предотвратить XSS-атаки, и обсудим различные методы на примерах кода.

Что такое совместное использование ресурсов между источниками (CORS)?
CORS — это механизм, который позволяет веб-браузерам налагать ограничения на веб-ресурсы, запрашиваемые из разных источников. Политика одного и того же источника, которая является политикой безопасности по умолчанию, применяемой веб-браузерами, не позволяет веб-страницам отправлять запросы к ресурсам из разных источников. Однако CORS смягчает эту политику, определяя набор правил, которые обеспечивают контролируемый доступ к ресурсам из разных источников.

Методы предотвращения XSS-атак с использованием CORS:

1. Политика одного и того же происхождения.
   Политика одного и того же происхождения запрещает веб-страницам отправлять запросы к ресурсам из разных источников. По умолчанию веб-браузеры применяют эту политику, предотвращая доступ XSS-атак к ресурсам в других доменах. Вот пример того, как политика одного и того же происхождения предотвращает XSS:

// Example code snippet
var maliciousScript = '<script>alert("XSS Attack");</script>';
document.getElementById('target').innerHTML = maliciousScript;

В этом примере, если домен веб-сайта — «example.com», а скрипт внедрен из другого источника, браузер заблокирует запрос, предотвращая XSS-атаку.

2. Предварительные запросы CORS.
   CORS представляет предварительные запросы, которые представляют собой запросы HTTP OPTIONS, отправляемые браузером для проверки, разрешает ли сервер запросы между источниками. Сервер отвечает соответствующими заголовками CORS, которые определяют разрешенные источники, методы и заголовки. Вот пример того, как предполетные запросы помогают предотвратить XSS-атаки:

// Example code snippet
var xhr = new XMLHttpRequest();
xhr.open('POST', 'https://api.example.com/data', true);
xhr.setRequestHeader('Content-Type', 'application/json');
xhr.send(JSON.stringify({ data: 'some data' }));

В этом примере браузер сначала отправит запрос OPTIONS на сервер, чтобы проверить, разрешен ли запрос POST из текущего источника. Сервер отвечает соответствующими заголовками CORS, и только если сервер разрешает запрос, выполняется фактический запрос POST.

3. Заголовки CORS и проверка на стороне сервера.
   Веб-серверы могут реализовывать проверку на стороне сервера и отвечать соответствующими заголовками CORS для дальнейшего смягчения атак XSS. Например, сервер может установить заголовок «Access-Control-Allow-Origin», чтобы указать разрешенные источники, и «Access-Control-Allow-Methods», чтобы определить разрешенные методы. Вот пример:

// Example response header
Access-Control-Allow-Origin: https://www.example.com
Access-Control-Allow-Methods: POST, GET, OPTIONS

Явно определяя разрешенные источники и методы, сервер гарантирует, что только доверенные источники смогут получить доступ к конфиденциальным ресурсам.

Совместное использование ресурсов из разных источников (CORS) играет решающую роль в предотвращении XSS-атак путем введения ограничений на запросы ресурсов из разных источников. Используя такие механизмы, как политика одного и того же источника, предварительные запросы и соответствующие заголовки CORS, веб-приложения могут значительно снизить риск XSS-уязвимостей. Реализация этих методов вместе с правильной проверкой на стороне сервера может помочь создать более безопасную веб-среду.