AI 생성 API는 Wildcard CORS를 계속 포함한 채 제공된다. 해결책.
(dev.to)
AI 코드 생성기(Cursor, Claude Code, Copilot)가 Express 및 FastAPI 프로젝트에서 개발자들에게 Wildcard CORS(`Access-Control-Allow-Origin: *`) 설정을 기본으로 제공하여 심각한 보안 취약점을 유발한다는 경고가 나왔습니다. 이 설정은 쿠키 인증(`allow_credentials=True`)과 결합될 경우, 어떤 웹사이트라도 사용자 브라우저를 통해 API에 대한 교차 출처 공격을 실행할 수 있게 만듭니다. 해결책은 Wildcard 대신 명시적인 허용 출처 목록을 사용하는 것입니다.
이 글의 핵심 포인트
- 1AI 코드 생성기(Cursor, Claude Code, Copilot)가 Express 및 FastAPI 프로젝트에서 Wildcard CORS (`Access-Control-Allow-Origin: *`)를 기본값으로 생성합니다.
- 2Wildcard CORS와 쿠키 인증(`allow_credentials=True`)의 결합은 CWE-942에 해당하는 심각한 교차 출처 공격 취약점을 야기합니다.