S3 버킷 권한에 가면

CORS 정책 설정하잖아

AllowedOrigins에 정의한 주소에서만 리소스 접근 허용함

S3에서는 요청 헤더에 Origin 헤더와 AllowedOrigins 대조해서 맞으면 access-control-.... 응답헤더 보내줌

예전에는 브라우저에서 cross site 요청이면 요청 헤더에 알아서 Origin 헤더를 추가하더만

요즘 업데이트하고 확인해보니 언제부터인지 몰라요 암튼 요즘은 Origin 헤더를 자동으로 추가 안하더라

Origin 헤더 없이 S3 리소스에 접근하면 CORS 정책대로 대조해서 정책 위반으로 불허하는 게 아니라

그냥 대조 자체를 안하고, 바로 리소스 접근이 되어서 CORS 정책이 무용지물이 되어버림

명시적으로 태그 어트리뷰트에 crossorigin=anonymous 추가해야 Origin 헤더 추가해서 요청하고 CORS 정책 작동됨

그러니 다른 사이트에서 Origin 헤더를 포함 안하며 쓰면, 핫링크처럼 막 써서 리소스 파일 써버릴 수가 있음

예전에는 브라우저가 cross site 요청이면 자동으로 Origin 헤더 추가해서 보냈었는데 왜 바꿨지?

Referrer 정책으로 해결되긴 하지만 클라우드플레어 같은 CDN 끼고 쓰면 

다른 정상적인 곳의 요청으로 클플 엣지에 캐시가 있으면 그쪽 엣지에선 Referrer 정책 위반해도 클플이 그냥 캐시된 리소스 보내줘서 완벽하지는 않음

다만 클플 엣지에 캐시 없으면 S3에 최초 요청하는데 여기에서는 Referrer 정책 위반으로 Access Denied 제대로 발동되지만, 불특정 다수가 많이 쓰면 몇초 안에 대부분 클플 엣지에 캐시가 생길텐데...

암튼 이랬음