开发环境 第2页

CORS控制浏览器脚本能否读取某些跨源响应，并不是接口的登录或授权机制。出现跨域错误时，应先核对请求来源与服务设计，而不是把所有访问限制一起移除。

命令行程序的退出状态与服务器的HTTP状态码不是同一个概念。curl传输完成，并不总是代表接口返回了业务成功结果，脚本需要明确检查策略。

浏览器可能自动携带登录Cookie，服务器因此需要区分用户期望的操作与被其他页面诱导的请求。CSRF防护与登录、对象权限是不同层面的检查。

看到JWT里的账号或过期字段，只说明读取到了相应内容。对于用作认证的签名令牌，系统还需要验证密码学保护及预期声明，不能把解码结果直接当作可信身份。

服务暂时无法处理请求时，可能通过Retry-After建议多久以后再尝试。这个字段需要结合状态码与操作性质理解，不能把它当成无限重试的许可。

登录页面常用返回地址把用户带回原页面。如果服务器直接使用外部输入作为跳转目标，可信域名的链接也可能把用户送往其他网站。防护应从目标选择规则开始。

接入MCP后只看到几项工具，不一定代表服务器只提供这些能力。列表操作可能分页返回，客户端需要读取下一页游标，才能判断发现过程是否结束。

网站已经连上，却迟迟不返回正文时，单独设置连接超时未必能结束等待。curl把连接阶段限制与一次传输的总时限分开，排查时要知道自己限制了哪一段。

下载功能如果把用户提供的字符串直接拼进文件路径，可能读取到原本不应提供的内容。限制下载范围应依靠明确的文件选择与权限规则，不能只删除几个可疑字符。

curl的小写-o让你指定本地文件名，大写-O通常从请求URL取文件名。下载后找不到预期名称时，先核对选项大小写和保存目录，不必立即判断文件丢失。