Короткий ответ Нужно явно перечислить разрешённые origin для каждого типа клиента (а не использовать wildcard-разрешение всех origin), развести механизмы защиты по типу аутентификации (CSRF актуален для cookie-based сессий из браузера, но не для API-ключей/токенов мобильного приложения или сервер-сервер интеграции партнёра) и решить, где физически применяется эта политика — на уровне API Gateway единообразно или по-разному на каждом отдельном сервисе за ним. Как это работает подробнее CORS защищает браузер пользователя от того, чтобы чужой сайт мог от имени пользователя читать ответы вашего API через JS без явного разрешения — это актуально именно для браузерных клиентов (веб-фронтенд, виджет, встраиваемый в сторонние сайты). CSRF актуален, когда аутентификация идёт через cookie, автоматически прикладываемый браузером к любому запросу на ваш домен, включая инициированные сторонним сайтом; для мобильного приложения или серверной интеграции партнёра, где аутентификация — явный токен в заголовке, а не cookie, кл
Загрузка…
