Cosa fa esattamente l'intestazione Access-Control-Allow-Credentials?

Sto cercando di capire come usare CORS e sono confuso su ciò che fa l' Access-Control-Allow-Credentialsintestazione.

La documentazione dice

Indica se la risposta alla richiesta può essere esposta o meno quando il flag delle credenziali è vero.

Ma non capisco cosa significhi "esporre" la risposta.

Qualcuno può spiegare cosa fa effettivamente questo header impostato su true (insieme al flag credenziali impostato su true)?

Per impostazione predefinita, CORS non include i cookie su richieste di origine incrociata. Ciò è diverso da altre tecniche di origine incrociata come JSON-P. JSON-P include sempre i cookie con la richiesta e questo comportamento può comportare una classe di vulnerabilità chiamata falsificazione di richieste tra siti o CSRF.

Al fine di ridurre la possibilità di vulnerabilità CSRF in CORS, CORS richiede sia al server che al client di riconoscere che è consentito includere cookie nelle richieste. In questo modo i cookie sono una decisione attiva, piuttosto che qualcosa che accade passivamente senza alcun controllo.

Il codice client deve impostare la withCredentialsproprietà su XMLHttpRequesta trueper consentire l'autorizzazione.

Tuttavia, questa intestazione da sola non è sufficiente. Il server deve rispondere con l' Access-Control-Allow-Credentialsintestazione. Rispondere con questa intestazione a truesignifica che il server consente di includere cookie (o altre credenziali dell'utente) nelle richieste di origine incrociata.

È inoltre necessario assicurarsi che il browser non blocchi i cookie di terze parti se si desidera che le richieste con credenziali di origine incrociata funzionino.

Tieni presente che, indipendentemente dal fatto che tu stia facendo richieste della stessa origine o incrociate, devi proteggere il tuo sito da CSRF (specialmente se la tua richiesta include cookie).