Una Cloud Function HTTP riceve metriche da un'origine web di un'applicazione separata. Quale valore dell'intestazione Access-Control-Allow-Origin consente solo a tale applicazione di pubblicare metriche?

Per consentire solo a una specifica applicazione web di inviare metriche a una Cloud Function tramite una richiesta HTTP, è fondamentale configurare correttamente l'intestazione Access-Control-Allow-Origin. La scelta corretta è specificare l'esatta origine web dell'applicazione. Questo garantisce che solo le richieste provenienti da quel dominio specifico siano autorizzate, implementando il principio del privilegio minimo e rafforzando la sicurezza. L'opzione (asterisco) permetterebbe a qualsiasi origine di effettuare richieste, compromettendo la sicurezza. Un carattere jolly per sottodomini sarebbe troppo permissivo se l'intento è limitare a una singola applicazione. L'origine della Cloud Function stessa non è rilevante per le richieste CORS in entrata da un'applicazione esterna.