适用于 Openclaw 的 CORS 配置错误扫描器

一款安全审计工具，用于扫描 Web 端点是否存在危险的 CORS 配置错误，并分配 A 到 F 的安全等级。

charlie-morrison

v1.0.1

2026年5月1日

安装

基本信息

Skill.md

安装与下载

1. ClawHub CLI

从源直接安装技能的最快方式。


                  npx clawhub@latest install cors-scanner

2. 手动安装

将技能文件夹复制到以下位置之一

全局模式

~/.openclaw/skills/

工作区

<project>/skills/

优先级：工作区 > 本地 > 内置

3. 提示词安装

将此提示词复制到 OpenClaw 即可自动安装。


                  请帮我使用 Clawhub 安装 cors-scanner。如果尚未安装 Clawhub，请先安装（npm i -g clawhub）。

更倾向于下载？

获取包含原生技能文件的ZIP压缩包。

什么是 CORS 配置错误扫描器？

CORS 配置错误扫描器是一款轻量级的、基于 Python 的安全工具，旨在识别 Web 服务器处理跨源资源共享时的漏洞。通过利用 Openclaw Skills，开发人员和安全研究人员可以快速检测常见的陷阱，如源反射、通配符策略和 null 源接受，这些都可能导致未经授权的跨源数据访问。该技能通过对任何给定 URL 执行 13 项不同的检查，提供全面的安全评估。

它通过识别可能向恶意第三方域暴露敏感身份验证令牌或会话数据的错误配置标头，帮助维护稳健的安全态势。该工具对于践行 DevSecOps 的团队特别有价值，因为它允许快速识别可能允许攻击者跨源边界窃取敏感用户数据的配置错误。

CORS 配置错误扫描器应用场景

对 REST APIs 和 Web 端点进行自动化安全审计以确保合规性。
识别绕过标准浏览器保护的源反射漏洞。
评估内部私有网络访问策略的安全性，以防止类似 SSRF 的攻击。
对云环境中的多个微服务执行批量扫描。
将 CORS 安全门集成到 CI/CD 流水线中，以防止发布不安全的配置。

CORS 配置错误扫描器工作原理

用户通过命令行界面向扫描器提供一个或多个目标 URL。
该技能启动一系列 HTTP 请求，模拟各种跨源场景，如源反射、null 源以及 HTTP 与 HTTPS 信任。
该工具根据 13 条安全规则分析响应标头——特别是 Access-Control-Allow-Origin (ACAO) 和 Access-Control-Allow-Credentials (ACAC)。
发现结果按严重程度加权，范围从 Critical 到 Info。
根据检测到的问题的综合风险水平，计算出从 A 到 F 的最终安全等级。
以要求的格式生成详细报告，提供可操作的修复建议。

CORS 配置错误扫描器配置指南

要使用此 Openclaw Skills 工具，请确保您的系统上安装了 Python 3.6 或更高版本。此扫描器完全依赖 Python 标准库，不需要外部依赖项。

# 对单个目标 URL 运行扫描
python3 scripts/cors_scan.py https://api.example.com

# 对多个端点运行批量扫描
python3 scripts/cors_scan.py https://api1.com https://api2.com

CORS 配置错误扫描器数据架构与分类体系

扫描器将其输出组织成结构化的发现和安全等级，以促进清晰的报告。数据可以按以下格式导出：

功能	详情
输出格式	支持 Text (默认)、JSON 和 Markdown 报告。
等级量表	A (洁净) 到 F (检测到严重配置错误)。
严重级别	Critical、High、Medium、Low 和 Info 类别。
分类	识别特定问题，如 Origin Reflection、Wildcard Methods 和 Private Network Access。
退出代码	在 CI/CD 环境中，通过返回 0，失败返回 1。