Eine HTTP Cloud Function empfängt Metriken von einem separaten Web-Origin einer Anwendung. Welcher Wert für den Header Access-Control-Allow-Origin erlaubt nur dieser Anwendung, Metriken zu posten?

Um sicherzustellen, dass nur die spezifische Anwendung Metriken an die Cloud Function senden kann, muss der Access-Control-Allow-Origin-Header den exakten Web-Origin der Anwendung enthalten. Dies ist der sicherste und präziseste Weg, um Cross-Origin Resource Sharing (CORS) zu steuern. Access-Control-Allow-Origin: würde allen Origins den Zugriff erlauben, was ein Sicherheitsrisiko darstellt. Ein Wildcard für alle Subdomains der Anwendung wäre zu breit gefasst und könnte unerwünschten Subdomains Zugriff gewähren. Der eigene Origin der Cloud Function würde nur Anfragen von der Cloud Function selbst erlauben, nicht aber von einer externen Anwendung.