🐛Cross-Origin Read Blocking (CORB) blocked cross-origin response with MIME type text/plain. See https://www.chromestatus.com/feature/5629709824032768 for more details

CORB（Cross-Origin Read Blocking）は、ウェブブラウザにおいて、怪しげなクロスオリジンリソースのロードを、ウェブページに到達する前に特定しブロックすることができるアルゴリズムである。CORBは、クロスオリジンウェブページからさらにデータを保持することで、機密データ漏洩のリスクを低減します。ほとんどのブラウザでは、信頼できないスクリプト実行コンテキストからそのようなデータを除外します。Site Isolation を備えたブラウザでは、信頼されていないレンダラー プロセスからそのようなデータを完全に排除し、Spectre などのサイドチャネル攻撃にも対応できます。

https://chromestatus.com/feature/5629709824032768

Cross-Origin Read Blocking (CORB)は、モダンなウェブブラウザに実装されているセキュリティ機能の一つです。これは、悪意のあるウェブサイトがユーザーのデータを盗み出すことを防ぐために、異なるオリジン間でのリソースの読み込みをブロックする目的で設計されています。CORBは、クロスサイトスクリプティング（XSS）攻撃やデータの盗用など、様々なセキュリティ脅威からユーザーを守るために重要な役割を果たします。

CORBの動作原理

CORBは、ウェブブラウザが異なるオリジンからのリソースを読み込む際に、そのリソースのMIMEタイプ（コンテンツの形式を指定するラベル）をチェックします。例えば、あるウェブサイトが別のオリジンからHTMLやJSONといった特定のセンシティブなデータを読み込もうとする場合、CORBはこの読み込みをブロックすることができます。これにより、悪意のあるウェブサイトがユーザーの情報を盗み出すことを防ぎます。

CORBの限界と対策

CORBは効果的なセキュリティ対策ですが、すべてのセキュリティ脅威を防ぐわけではありません。そのため、ウェブ開発者はCORBに加えて、CORS（Cross-Origin Resource Sharing）ポリシーの適切な設定や、コンテンツセキュリティポリシー（CSP）の実装など、他のセキュリティ対策を組み合わせることが推奨されます。これらの対策を適切に実装することで、ウェブアプリケーションとユーザーデータのセキュリティを強化することができます。
CORBは、ウェブセキュリティを強化するための重要なツールの一つですが、開発者はウェブアプリケーションのセキュリティを総合的に考慮し、複数のセキュリティ対策を適切に組み合わせることが重要です。これにより、クロスサイトリクエストフォージェリ（CSRF）、クロスサイトスクリプティング（XSS）、データ漏洩など、さまざまなセキュリティ脅威からユーザーを守ることが可能になります。

digraph cors_failure_sequence { node [shape=box, style=filled, color=lightgrey]; edge [fontsize=10]; subgraph cluster_client { label = "Client (Browser)"; color = lightblue; client_origin [label="Origin: example.com", shape=ellipse, style=filled, color=azure]; client_request [label="Sends CORS Request\nMethod: GET"]; } subgraph cluster_server { label = "Server"; color = lightcoral; server_response [label="Returns CORS Response\nAccess-Control-Allow-Origin: none"]; } // Connections between nodes and subgraphs client_origin -> client_request [label="Initiate Request"]; client_request -> server_response [label="HTTP Request\nIncludes Origin: example.com"]; server_response -> client_request [label="HTTP Response\nBlocks specified Origin", dir=back]; // Layout configuration rankdir=LR; // Flow graph from left to right }