Azure ARM Misconfiguration: Improper CORS Policy

该模板定义了过于宽松的 CORS 策略。

跨域资源共享，通常称为 CORS，是一种允许域为其资源定义策略，以供托管在不同域上的网页访问的技术。在过去，Web 浏览器始终限制从其他域加载的脚本访问其域资源，以遵守同源策略。
CORS 为域提供了一种接受其他域并允许它们访问其资源的方法。

定义 CORS 策略时应小心谨慎，因为在服务器级别为域或域上的目录配置的过于宽松的策略可能会在跨域访问时暴露超过预期的更多内容。CORS 可使恶意应用程序与受害者应用程序进行错误通信，从而导致发生信息泄露、欺骗、数据被盗、转发或其他攻击。

实施 CORS 会增加应用程序的攻击面，只应在必要时使用。

示例 1：以下示例模板为 Azure SignalR Web 应用程序定义了过于宽松的 CORS 策略。

{
    ...
    "type": "Microsoft.SignalRService/SignalR",
    ...
    "properties": {
    ...
        "cors": {
            "allowedOrigins": ["*"]
        },
    ...
}

示例 2：以下示例模板为 Azure Web 应用程序定义了过于宽松的 CORS 策略。

{
    "apiVersion": "2020-12-01",
    "type": "Microsoft.Web/sites",
    ...
    "properties": {
        ...
        "siteConfig": {
            ...
            "cors": {
                "allowedOrigins": [
                    "*"
                ]
            },
    ...
}

示例 3：以下示例模板为 Azure Maps 帐户定义了过于宽松的 CORS 策略。

{
    "apiVersion": "2021-12-01-preview",
    "type": "Microsoft.Maps/accounts",
    ...
    "properties":{
        "cors":{
            "allowedOrigins": ["*"]
        }
    },
    ...
}

示例 4：以下示例模板为 Azure Cosmos DB 帐户定义了过于宽松的 CORS 策略。

{
    "type": "Microsoft.DocumentDB/databaseAccounts",
    ...
    "properties": {
        "cors": [{
            "allowedOrigins":"*"
        }],
    ...
}

示例 5：以下示例模板为 Azure 存储 blob 服务定义了过于宽松的 CORS 策略。

{
"type": "Microsoft.Storage/storageAccounts/blobServices",
    ...
    "properties": {
        "cors": {
            "corsRules": [
                {
                    "allowedOrigins":["*"],
                    ...
                }
            ]
        }
    }
    ...
}