7.2.2. 跨站点请求 Forgery (CSRF)

OpenStack 仪表板旨在鼓励开发人员使用自定义仪表板引入跨站点脚本漏洞，因为存在潜在的威胁。使用多个 JavaScript 实例的仪表板应该被审核为漏洞，如不当使用 @csrf_exempt decorator。任何未遵循这些推荐安全设置的仪表板，都应仔细评估 CORS （跨 Origin 资源共享）限制。

您应该将 Web 服务器配置为为每个响应发送限制性 CORS 标头，仅允许仪表板域和协议。例如：Access-Control-Allow-Origin: https://example.com/。您不应该允许通配符来源。