跨域之cors--简单请求、复杂请求

1.简单请求：

1、使用下列方法之一：

GET、

POST、

HEAD。

2、不得人为设置该集合之外的其他首部字段。该集合为：

Accept

Accept-Language

Content-Language

Content-Type

3、Content-Type 的值仅限于下列三者之一：

text/plain

multipart/form-data

application/x-www-form-urlencoded

4、请求中的任意XMLHttpRequestUpload 对象均没有注册任何事件监听器；XMLHttpRequestUpload 对象可以使用 XMLHttpRequest.upload 属性访问

5、请求中没有使用 ReadableStream 对象

2.除了简单请求都是复杂请求。

3.简单请求的请求和响应头

简单请求的代码上还是XHR请求，但是HTTP请求头部包含域信息

简单请求的部分响应头：

1.Access-Control-Allow-Origin（必含）- 不可省略，否则请求按失败处理。该项控制数据的可见范围，如果希望数据对任何人都可见，可以填写"*"。

2.Access-Control-Allow-Credentials（可选） – 该项标志着请求当中是否包含cookies信息。与请求时的withCredentials属性保持一致。

3.Access-Control-Expose-Headers（可选） – 该项确定XmlHttpRequest2对象当中getResponseHeader()方法所能获得的额外信息。通常情况下，getResponseHeader()方法只能获得如下的信息： Cache-Control 、Content-Language、 Content-Type、Expires、 Last-Modified 、Pragma 当你需要访问额外的信息时，就需要在这一项当中填写并以逗号进行分隔。

4.复杂请求

最先发送的是一种"预请求"，此时作为服务端，也需要返回"预回应"作为响应。预请求实际上是对服务端的一种权限请求，只有当预请求成功返回，实际请求才开始执行。

预请求以OPTIONS形式发送，当中同样包含Origin，并且还包含了两项CORS特有的内容

Access-Control-Request-Method – 该项内容是实际请求的种类，可以是GET、POST之类的简单请求，也可以是PUT、DELETE等等。

Access-Control-Request-Headers – 该项是一个以逗号分隔的列表，当中是复杂请求所使用的头部。

复杂请求的预请求的响应头如下：

1.Access-Control-Allow-Origin（必含） – 和简单请求一样的，必须包含一个域。

2.Access-Control-Allow-Headers -- 可以返回所有支持的头部。

3.Access-Control-Allow-Credentials（可选） – 和简单请求当中作用相同

4.Access-Control-Allow-Methods（必含） – 这是对预请求当中Access-Control-Request-Method的回复，这一回复将是一个以逗号分隔的列表。尽管客户端或许只请求某一方法，但服务端仍然可以返回所有允许的方法，以便客户端将其缓存。

5.Access-Control-Max-Age（可选） – 以秒为单位的缓存时间。Access-Control-Max-Age这个响应首部表示 preflight request （预检请求）的返回结果（即 Access-Control-Allow-Methods 和Access-Control-Allow-Headers 提供的信息） 能够被缓存的最长时间，单位是秒。

大胆假设一下，如果预检请求失败（ACAO不允许），由于Max-Age的存在，会使得第二次预检请求发送不出去？

揭秘简单请求与复杂请求 - 云+社区 - 腾讯云

 复杂请求的后续数据发送：一旦服务器通过了"预检"请求，以后每次浏览器正常的CORS请求，就都跟简单请求一样，会有一个Origin头信息字段。服务器的回应，也都会有一个Access-Control-Allow-Origin头信息字段。