웹에서 외부랑 API 통신하려면 CORS 해제는 불가피한가요?

[익명(182.230)]

제가 만든 웹사이트가 있고 앱이 있습니다. 앱에서 웹사이트의 특정경로(/user_info 같은)에 http로 요청을 보냈는데 csrf인가 cors인가 정확히는 모르겠는데 이거 때문에 막히거든요. 이런 경우는 그냥 allow-origin인가 그거 밖에 없나요?

[프갤러 1(175.203)]

csrf-token은 웹해킹 기법중 하나인 csrf 방지해 주는 옵션이고 cors는 너가 허용한 도메인만 니 서버에 리소스 요청할 수 있는거임. cors 설정으로 너의 웹서버에 요청할 수 있는 도메인 설정해줄 수 있음.

[프갤러 1(175.203)]

웹프레임워크마다 allow-origin에 호스트명이나 ip 주소로 설정해줄 수 있는 방법이 있음.

[익명(182.230)]

allow-origin이 header 같은건가요?

[프갤러 1(175.203)]

access-control-allow-origin은 그냥 니 서버 리소스에 접근할 수 있는 도메인 알려주는 용도의 http header고 allow-origin은 니 서버 리소스에 접근이 허용되는 도메인 모음임. allow-origin은 니가 직접 서버 설정 만지거나 웹프레임워크에서 제공하는 방식으로 설정할 수 있음.