WEB安全之：CORS与CSP ,安能辨我雌雄？

CORS（Cross-Origin Resource Sharing，跨域资源共享）和 CSP（Content Security Policy，内容安全策略）是两个与 Web 安全相关的概念，但它们的用途、目标和实现机制不同。以下是它们的详细区别和对比：

---

1. 什么是 CORS（跨域资源共享）？

概念

CORS 是一种机制，用于浏览器允许来自一个源（域名、协议和端口）的 Web 应用访问另一个源的资源或 API。

目标

解决浏览器的同源策略限制，允许跨域请求（如 REST API 调用、跨域获取资源）。

工作原理

CORS 通过 HTTP 头与服务器通信，告知浏览器该资源是否允许跨域访问。主要包含以下头部：

• Access-Control-Allow-Origin：允许的源（如 * 或具体域名）。
• Access-Control-Allow-Methods：允许的 HTTP 方法（如 GET、POST）。
• Access-Control-Allow-Headers</