cors-Request
Origin - origin 参数的值为源站 URI。它不包含任何路径信息,只是服务器名称。 - origin: http://example.com Access-Control-Request-Method - 预检请求时,将实际请求所使用的 HTTP 方法告诉服务器。 - Access-Control-Request-Method: POST Access-Control-Request-Headers - 预检请求时,将实际请求所携带的首部字段告诉服务器。
cors-Response
Access-Control-Allow-Origin - 允许访问该资源的外域 URI - Access-Control-Allow-Origin: * Access-Control-Expose-Headers - 让服务器把允许浏览器访问的头放入白名单 - Access-Control-Expose-Headers: X-My-Custom-Header, X-Another-Custom-Header Access-Control-Max-Age - 指定了预检请求请求的结果能够被缓存多久(秒) - Access-Control-Max-Age: 3600 Access-Control-Allow-Credentials - 指定了当浏览器的credentials设置为true时是否允许浏览器读取response的内容。当用在对preflight预检测请求的响应中时,它指定了实际的请求是否可以使用credentials。请注意:简单 GET 请求不会被预检;如果对此类请求的响应中不包含该字段,这个响应将被忽略掉,并且浏览器也不会将相应内容返回给网页。 - Access-Control-Allow-Credentials: true Access-Control-Allow-Methods - 用于预检请求的响应。其指明了实际请求所允许使用的 HTTP 方法。 - Access-Control-Allow-Methods: GET,PUT,DELETE Access-Control-Allow-Headers - 用于预检请求的响应。其指明了实际请求中允许携带的首部字段。 - Access-Control-Allow-Headers: X-Custom-Header