access-control 头部

June 17, 2023

请求

在发出非简单请求之前，会先发送 Preflight 请求（请求方法为 OPTIONS）

重要：对于 CORS-safelisted request header，客户端无需指明 Access-Control-Request-Headers。对于 CORS-safelisted response header，服务端无需指明 Access-Control-Allow-Headers。

OPTIONS /resource/foo
Access-Control-Request-Method: DELETE
Access-Control-Request-Headers: origin, x-requested-with
Origin: https://foo.bar.org

HTTP/1.1 200 OK
Content-Length: 0
Connection: keep-alive
Access-Control-Allow-Origin: https://foo.bar.org
Access-Control-Allow-Methods: POST, GET, OPTIONS, DELETE
Access-Control-Allow-Headers: Content-Type, x-requested-with
Access-Control-Max-Age: 86400

Access-Control-Request-Headers

指明将要使用的请求头。多个时，可用逗号分隔。
注意：Forbidden header name 请求头禁止通过编程修改

响应

Access-Control-Allow-Credentials

指定当客户端发送跨域的 Credentials 时，是否允许客户端获取服务端的响应。
（也可以说，是否允许客户端发送跨域 Credentials，不允许就不能收到服务端响应）
注：Request.credential = "include" 的请求就是发送跨域 Credentials 的请求
至于什么是带 Credentials 请求，参见此处

Access-Control-Allow-Headers

指明允许客户端发送的请求头。多个时，可用逗号分隔。
若客户端的请求是无 Credentials 请求，则可以响应通配符 *，允许所有请求头。
（注意：存在 Authorization 请求头的请求是带 Credentials 请求）

若客户端发送了 Access-Control-Request-Headers 请求头，则必须响应 Access-Control-Allow-Headers

例如：

Access-Control-Allow-Headers: X-Custom-Header

注意：客户端发送 authorization 请求头（OPTIONS 发送 Access-Control-Request-Headers: authorization），
但不是带 Credentials 请求时，是无需 Access-Control-Allow-Credentials: true 响应头的。
但是需要 Access-Control-Allow-Headers: * 响应头，同理也可使用通配符