You are evaluating two CORS setups: one uses wildcards, the other uses a whitelist. Which is more secure?

Đáp án đúng: "Whitelist of trusted domains". Danh sách trắng (whitelist) chỉ cho các origin được liệt kê, ví dụ cấu hình gói cors với tuỳ chọn origin là mảng tên miền frontend của mình, nên trang lạ không đọc được phản hồi API qua trình duyệt của người dùng; đây là nguyên tắc cấp quyền tối thiểu. "Wildcard for simplicity" đặt Access-Control-Allow-Origin bằng ký tự đại diện cho mọi trang đọc phản hồi, tiện cho API công khai nhưng mở rộng bề mặt tấn công, và không dùng được cùng credentials như cookie. "Both are equally secure" sai vì hai cách cho số lượng origin được phép khác hẳn nhau. "Disable CORS and use proxies" là đường vòng chứ không phải cấu hình CORS an toàn hơn: proxy cùng origin có thể dùng trong vài kiến trúc, nhưng câu hỏi so sánh hai cấu hình CORS và hạn chế origin mới trực tiếp tăng an toàn.