用途：该技能用于在生成或审查服务器配置、API 后端时，识别并避免开放跨源资源共享（CORS）反模式（CWE-942），严重级别中等。
主要能力：指出过度宽松的 Access-Control-Allow-Origin 头（通配符 * 或反射客户端 Origin）会导致任意网站代表用户发起已认证请求，造成数据窃取和未授权操作。资料给出攻击流程示例：已登录用户访问恶意站点，脚本请求目标 API，宽松 CORS 允许携带会话 Cookie，服务端返回敏感资料，被外带。
必要用法（修复要点）：维护受信来源严格白名单；永远不要直接反射 Origin 头，须先对照白名单校验；已认证端点避免使用通配符；仅在必要时对白名单来源设置 Access-Control-Allow-Credentials 为 true；添加 Vary: Origin 防止缓存把受信来源的响应错误提供给恶意来源。示例将 Origin 与 ALLOWED_ORIGINS 集合比对后才设置头部。
检测方式：用浏览器开发者工具网络面板查看跨源响应头中的 Access-Control-Allow-Origin 是否为 * 或是否回显不可信 Origin；用 curl -H "Origin: https://evil.com" -I https://yourapp.com/api/some-endpoint 检查是否返回对应头部；审查应用代码或框架的 CORS 配置。
适用场景：服务端配置与 API 后端的安全审查、代码生成时的安全检查。
限制：本资料未提供安装命令、运行命令、版本、收费、平台支持或效果数据；实际实施需结合具体框架配置。