Можно ли как-то подделать данные в заголовке Origin? Вопрос задан с целью защиты.
GET /ttt HTTP/1.1
Host: server.example.com
Upgrade: websocket
Connection: Upgrade
Origin: http://webru.ru
Sec-WebSocket-Key: 32f2f2f2342r23
Sec-WebSocket-Version: 13
Вы не можете изменять header
в origin
, но вы можете модифицировать запросы для header
через расширения, используя WebRequest.
Вам не нужно думать, можно ли подделать Origin, вместо этого Вы должны проверить, является ли Origin подходящим или нет, и вернуть нужный Access-Control-Allow-Origin. При правильном Access-Control-Allow-Origin кроссдоменная атака невозможна.