一个 HTTP Cloud Function 从一个独立的应用程序 Web 源接收指标。哪个 Access-Control-Allow-Origin 头部值只允许该应用程序发布指标？

为了确保安全性并遵循最小权限原则，Access-Control-Allow-Origin 头部应该被设置为应用程序的精确 Web 源。这意味着只有来自该特定源的请求才会被允许访问 Cloud Function，从而防止未经授权的跨域请求。 Access-Control-Allow-Origin: 允许任何源访问，这会带来安全风险，因为它允许任何网站向您的函数发送请求。 应用程序所有子域的通配符（例如 .example.com）虽然比 更具体，但如果应用程序只需要一个特定的子域来发布指标，则仍然过于宽泛。 Cloud Function 自己的源是错误的，因为 Cloud Function 是接收请求的服务器，而不是发出请求的客户端应用程序。