CORS

CORS（跨源资源共享）是浏览器安全机制，用 HTTP 头控制网页能否访问不同源的资源，防止跨站读取。

用途

放宽同源策略以支持合法跨源 API 调用，同时防止恶意站点读取跨源响应。

机制

浏览器对跨源请求加 Origin 头。简单请求直接发送；预检请求（OPTIONS）检查服务器允许的方法与头。服务器返 Access-Control-Allow-Origin 等头授权。无凭证请求需 Allow-Credentials。

用例

跨域 API 调用
CDN 字体与图片
微服务前端聚合
第三方 SDK 集成

示例

输入

Origin: https://a.com → https://b.com

输出

b.com returns the ACAO header to authorize

Preflight followed by the actual request

常见错误

The browser blocks the response when the server returns no CORS headers: Configure the Access-Control-Allow-* headers

相关词条

CSP（内容安全策略）用 HTTP 头声明允许加载的资源源，限制 XSS 与数据注入的攻击面。

Cookie 是服务器发送、浏览器存储的键值对，随同源请求自动发送，用于会话与状态管理。

HTTP（超文本传输协议）是 Web 应用层协议，基于请求-响应模型，无状态，是 Web 通信的基础。

参考链接