返回 Bug 清单
BUG-0258project-15中已修复security-cors
CORS 通配符 * 全放开：dashboard/CLI API 端点收紧为 Origin 白名单动态回显
发现：2026-10-01验证：2026-10-09置信度：70%
症状
任意 origin 的网页 fetch 均能拿到 API 响应（安全合规扫描项 IMPL-014 Task 3）
根因
dashboard 与 CLI API 的多个端点硬编码 w.Header().Set("Access-Control-Allow-Origin", "*")——任意第三方站点都可跨域读取治理数据（内网资产信息、文件列表）。
修复方案
封装 setCORS：读取请求 Origin，仅当 dashboard.AllowedOrigin(origin) 命中白名单才回显该 origin，否则不带 CORS 头；4 个端点统一替换，并补白名单/外域拒绝测试。
错误签名
Access-Control-Allow-Origin * CORS 白名单 AllowedOrigin 通配符收紧技术信息
来源项目
project-15
涉及文件
cmd/cli/main.go, internal/dashboard/router.go
标签
CORS, 安全加固, project-15, mcp-reported