CORS Misconfiguration：cc-switch 本地代理 API 凭据滥用报告

Quick fix

原帖尚未提供可验证的解法；限制 CORS、移除 CORS 层和增加本地令牌均为报告者建议，尚无已修复版本证据。

Symptom

报错原文复制

[Security] CORS Misconfiguration in Local Proxy Enables 1-Click API Key Abuse

Cause

报告者指出，cc-switch 本地代理 127.0.0.1:15721 在 src-tauri/src/proxy/server.rs 中使用 allow_origin(Any)，同时允许任意方法和请求头。按照报告描述，网站可向代理发起跨域请求，而代理会自动附加用户配置的供应商凭据，因此存在无需获知 API key 即可借用其发起 API 调用的风险。

报告环境为 macOS、cc-switch 3.12.3；报告者声称此前包含代理功能的版本也受影响，但未给出起始版本。报告还提出 /health 探测、/status 信息暴露、缺少代理鉴权和限流等相关担忧。该 issue 已关闭，但所提供材料没有维护者确认、修复提交或验证结果；报告中的敏感上下文外传主张也没有独立验证记录。

Fix

1. 1

   原帖尚未提供可验证的解法。查看 issue #1841 的后续讨论，确认是否补充了修复提交、已修复版本或验证结果；不能将关闭状态视为已修复。

2. 2

   供维护者评估：报告者提出将 CORS 来源限制为 localhost、移除 CorsLayer，或为代理请求增加本地秘密令牌。这些均为候选修复建议，所提供材料未证明其已实施或验证有效。

Affected Versions

Tool未知

Version3.12.3（报告所称受影响版本；此前包含代理功能的版本也被报告涉及，起始版本未知）

PlatformsmacOS

Source Issues

本页汇总自 1 个真实 issue

• #1841[Security] CORS Misconfiguration in Local Proxy Enables 1-Click API Key Abuse

FAQ

（暂无 FAQ）

相关问题

Prompt files are never rebuilt数据库恢复后 Prompt、实时配置与缓存未完整重建；原帖尚未提供可验证的解法，需跟进源帖合并后的审查进展。1 issues merged点击任意按钮会闪烁一次 CC Switch在 Windows 上将 CC Switch 单独改用 WebView2 152.0.4191.62 Fixed Version，可避免 WebView2 153.0.4234.32 的点击闪烁。2 issues mergedcc-switch 用量统计与 DeepSeek 官网不一致 / 不更新先升级到 v3.19.2 或更新版本，然后在「使用统计」页执行一次「重建 Codex 用量」，历史虚增或漏记的数据才会被修正。22 issues merged