浏览器的跨域Cors规则

跨域即非同源访问服务资源

如：http://www.baidu.com/index.html的页面要用浏览器的XHR请求访问http://www.aliyun.com/api/apiMethod来请求数据，这种情况就属于跨域请求数据，在js中对接口发起的所有请求都属于XHR请求

浏览器通过http返回报文的头信息识别服务器是否允许跨域，这是约定。

浏览器主要通过服务器的响应中是否包含下面几个头信息来判断是否允许访问：

• Access-Control-Allow-Origin
• Access-Control-Expose-Headers
• Access-Control-Max-Age
• Access-Control-Allow-Credentials
• Access-Control-Allow-Methods
• Access-Control-Allow-Headers

Access-Control-Allow-Origin：
它的值决定了那些地址来的请求可以跨域，也可以设置为 * 表示允许所有的请求源跨域

Access-Control-Expose-Headers：
在跨源访问时，XMLHttpRequest对象的getResponseHeader()方法只能拿到一些最基本的响应头，Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma，如果要访问其他头，则需要服务器设置本响应头。
Access-Control-Expose-Headers 头让服务器把允许浏览器访问的头放入白名单，例如：
Access-Control-Expose-Headers: X-My-Custom-Header, X-Another-Custom-Header
这样浏览器就能够通过getResponseHeader访问X-My-Custom-Header和 X-Another-Custom-Header 响应头了。

Access-Control-Max-Age:
指定了preflight请求的结果能够被缓存多久。
Access-Control-Max-Age:
delta-seconds 参数表示preflight请求的结果在多少秒内有效。

Access-Control-Allow-Methods 的值决定了那些方法可以跨域访问，也可以设置为 * 表示允许所有方法

Access-Control-Allow-Headers 首部字段用于预检请求的响应。其指明了实际请求中允许携带的首部字段