자격증명 쿠키를 사용하는 API가 임의 Origin을 반사해 허용한다. 위험을 줄이는 설정은?

1. 1

   요청 Origin을 그대로 반사하고 `Access-Control-Allow-Credentials: true`를 모든 경로에 적용한다.

2. 2

   신뢰 Origin을 스킴·호스트·포트까지 정확히 허용 목록으로 검증하고 자격증명 허용 범위를 최소화한다.

3. 3

   Origin 문자열에 회사 도메인이 부분 문자열로 포함되면 하위 도메인 경계와 관계없이 허용한다.

4. 4

   파일·샌드박스 문서의 `null` Origin을 모든 자격증명 API에서 신뢰한다.