设置Access-Control-Allow-Origin: *的安全风险

通配符 CORS 的安全风险分析：仅在 Cookie 认证、SameSite=None、允许携带凭据且动态反射 Origin 同时满足时才可被实际利用，恶意站点可读取已认证响应；修复建议包括 SameSite Lax/Strict 等。