Заголовок Origin

[gegavat]

Всем привет! Подскажите пожалуйста, можно ли полагаться на заголовок Origin при ajax запросе к серверу?
Т.е. на сервере надо определить домен, с которого отправлен запрос и если этот домен в списке разрешенных, отдать данные пользователя

[laimas]

Сам браузер заблокирует доступ клиенту, если если запрос с домена не из числа разрешенных доменов.

[gegavat]

А исхитриться и подделать заголовок Origin не получится?
Просто, допустим, в php можно без проблем изменить $_SERVER['HTTP_HOST']. Не хотелось бы чтобы так произошло и с Origin

[laimas]

А исхитриться и подделать заголовок Origin не получится?

Подделать можно многое. А если делать запрос с сервера на сервер, то ваши разрешения Access-Control-Allow-Origin для сервера как об стенку горохом. Серверу что-то подделывать может и не потребоваться, если только не ради получения ответа.