不使用 cookie 时是否需要细粒度 CORS（REST API）

Question

直到跨源资源共享 - CORS 的目的之一（如果不是唯一）是保护特定网站浏览器中保存的数据的安全。从相关维基百科文章来看，这仅适用于HTTP Cookie。因此，如果我在后端实现 CORS，我必须列出特定允许的域而不是 *，因为这会有效地创建安全漏洞。

但是，如果我的服务根本不使用浏览器 cookie 怎么办？我有一个 REST API，其中授权是通过传递特殊标头来完成的，而不以任何方式依赖 cookie。在这种情况下允许Allow-Origin=*后端的任何 CORS 请求是否安全？