跨域资源共享漏洞

1. “跨域资源共享”（Cross-origin resource sharing）
   它允许浏览器向跨源服务器，发出XMLHttpRequest请求，从而克服了AJAX只能同源使用的限制。
   以下属于跨域情况：
   
2. 如果服务器允许跨域，需要在返回的响应头中携带下面信息：

Access-Control-Allow-Origin: http://manage.leyou.com
Access-Control-Allow-Credentials: true
Content-Type: text/html; charset=utf-8

解释：
Access-Control-Allow-Origin：可接受的域，是一个具体域名或者*（代表任意域名）。
Access-Control-Allow-Credentials：是否允许携带cookie，默认情况下，cors不会携带cookie，除非这个值是true。