💡 Hiểu đúng về kết quả kiểm thử:
• Nếu máy chủ bị lỗi CORS: Trình duyệt sẽ cho phép JavaScript đọc được nội dung phản hồi (kể cả khi trả về 400 Bad Request vì chưa đăng nhập hoặc 200 OK nếu đã đăng nhập). Điều này chứng minh lỗ hổng tồn tại.
• Nếu máy chủ đã được FIX: Trình duyệt sẽ CHẶN ĐỨNG HOÀN TOÀN lệnh gọi (quăng lỗi TypeError: Failed to fetch / CORS Policy Blocked), không cho phép bất kỳ dòng code nào đọc dữ liệu.