Cross-Origin Read Blocking (CORB)

Cross-Origin Read Blocking (CORB) 是一种安全机制，用于保护Web应用免受跨域读取攻击。

跨域读取攻击可能会导致网站上的敏感信息被恶意代码访问和读取。这种攻击方式通常利用浏览器对不同源的资源访问的限制进行绕过。

CORB通过在浏览器中引入一种新的安全检测机制来解决这个问题。当浏览器尝试读取跨域资源（如图片、样式表、脚本等）时，CORB将检测是否存在安全问题。如果存在潜在的安全问题，CORB将阻止浏览器读取该资源，并返回一个空的响应，以保护网站的敏感信息。

CORB的工作原理

当浏览器发起跨域请求时，它会在收到响应之前先检查响应的内容类型。如果响应的内容类型不是被视为安全的类型（如HTML、XML、JSON等），浏览器就会阻止网页读取该响应的内容。这是一种安全机制，用于阻止跨域读取攻击，旨在保护Web应用程序免受恶意网站的攻击。通过阻止恶意网站读取其他域名下的敏感数据，CORB可以有效保护用户的隐私和安全。

CORB 可以缓解哪些攻击？

• Cross-Site Script Inclusion (XSSI)

  • <script>XSSI 是一种将标签指向非 JavaScript 目标资源的技术，并在将结果资源解释为 JavaScript 时观察一些副作用。这种攻击的一个早期例子是在 2006 年发现的：通过覆盖 JavaScript 数组构造函数，JSON 列表的内容可以被简单地拦截<script src="https://example.com/secret.json">：虽然数组构造函数攻击向量在当前浏览器中已得到修复，