Une fonction Cloud HTTP reçoit des métriques d'une origine web d'application distincte. Quelle valeur d'en-tête Access-Control-Allow-Origin permet uniquement à cette application de publier des métriques ?

Pour des raisons de sécurité, le mécanisme CORS (Cross-Origin Resource Sharing) exige que l'en-tête Access-Control-Allow-Origin corresponde précisément à l'origine de la requête. Spécifier l'origine web exacte de l'application cliente (Access-Control-Allow-Origin: l'origine web exacte de l'application) est la méthode la plus sécurisée et la plus appropriée pour autoriser uniquement cette application à publier des métriques. Utiliser (Access-Control-Allow-Origin: ) autoriserait n'importe quelle origine à faire des requêtes, ce qui est une faille de sécurité majeure. Un caractère générique pour tous les sous-domaines (Access-Control-Allow-Origin: un caractère générique pour tous les sous-domaines de l'application) est également trop permissif et non conforme aux spécifications CORS pour cet en-tête. L'origine propre de la fonction Cloud (Access-Control-Allow-Origin: l'origine propre de la fonction Cloud) ne permettrait pas à l'application cliente de communiquer, car elle ne correspondrait pas à l'origine de la requête.