CORS

CORSとは — 仕組みと、設定ミス（CORS misconfiguration）で起きること

CORSは『別オリジンのJSが自分のAPI応答を読めるか』をブラウザが制御する仕組み。設定ミス＝任意Originの反射や Access-Control-Allow-Origin:* と認証情報の併用で、第三者サイトからログイン済みデータを読まれる。本命の防御は許可リスト方式・Originを鵜呑みに反射しない・既定で拒否。