对CROS OPTIONS预检请求的一些思考

浏览器最基本的安全规范-同源策略。所谓同源是指域名、协议、端口相同。不同源的浏览器脚本(javascript、ActionScript、canvas)在没有明确授权的情况下，不能读写对方的资源。

CORS就是w3c和浏览器厂商为解决跨域资源共享问题而推出的标准方案：它允许浏览器向跨源服务器发出脚本请求，CORS需要浏览器和服务器同时支持，它的通信过程都是浏览器自动完成的，不需要用户参与。

浏览机器一旦发现跨域，就会自动添加一些附加的头信息，有时还会多出一次附加的请求，但用户不会察觉，服务器响应特定标头Access-Control-，体现跨源访问的授权。

今天我主要想要聊一聊CORS中的预检请求

当前端使用脚本请求一个跨域资源时，如果是非简单请求(下文会解释)，浏览器会自动帮你先发出一个OPTIONS查询请求，称为预检(cors-preflight-request)，作用是询问服务器,当前网页所在的域名是否在服务器的许可名单之中，以及可以使用那些HTTP动词和头信息字段。 只有得到肯定答复，浏览器才会发生正式的XHR请求。

该请求header中会包含以下两个字段：

Access-Control-Request-Method: 该字段的值对应当前请求类型，例如 GET、POST、PUT等等。浏览器会自动处理。
Access-Control-Request-Headers: 该字段的值对应当前请求可能会携带的额外的自定义header字段名，多个字段用逗号分割。浏览器会自动处理，将请求中非简单的header字段全部列出来，例如标识请求流水的x-request-id，用于Auth鉴权的Authorization 字段。
对于 OPTIONS 请求，按照规范实现的服务端会响应一组HTTP header，但不会返回任何实体内容