跨域资源共享(cors)与预检请求

跨域资源共享的设置

服务端

//以下设置允许哪些域名跨域共享服务器的资源
Access-Control-Allow-Origin:"*"
//以下设置服务器允许cookie跨域
Access-Control-Allow-Credentials:true
需要注意的是，如果要发送Cookie，Access-Control-Allow-Origin就不能设为星号，必须指定明确的、与请求网页一致的域名。
同时，Cookie依然遵循同源政策，只有用服务器域名设置的Cookie才
会上传，其他域名的Cookie并不会上传，且（跨源）原网页代码中的
document.cookie也无法读取服务器域名下的Cookie。

客户端

//指定本次的域名
origin:localhost
//浏览器允许cookie发送
withCredential:true

cors将请求分为两类,简单请求和非简单请求

• 简单请求

1.请求是以下三种方法之一
head
get
post
2.HTTP的头信息不超出以下几种字段
Accept
Accept-Language
Content-Language
Last-Event-ID
Content-type为application/x-www-form-urlencoded、multipart/form-data、text/plain

凡是不同时满足上面两个条件，就属于非简单请求。

• 非简单请求

非简单请求是那种对服务器有特殊要求的请求，比如请求方法是PUT或DELETE，或者Content-Type字段的类型是application/json。
非简单请求的CORS请求，会在正式通信之前，增加一次HTTP查询请求，称为"预检"请求（preflight）。

跨源资源共享标准新增了一组 HTTP 首部字段，
允许服务器声明哪些源站通过浏览器有权限访问哪些资源。
另外，规范要求，对那些可能对服务器数据产生副作用的 HTTP 请求方法（特别是 GET 以外的 HTTP 请求，或者搭配某些 MIME 类型的 POST 请求），
浏览器必须首先使用 OPTIONS 方法发起一个预检请求（preflight request），
从而获知服务端是否允许该跨源请求。服务器确认允许之后，
才发起实际的 HTTP 请求。
在预检请求的返回中，服务器端也可以通知客户端，
是否需要携带身份凭证（包括 Cookies 和 HTTP 认证相关数据）

服务器收到"预检"请求以后，检查了Origin、Access-Control-Request-Method和Access-Control-Request-Headers字段以后，
确认允许跨源请求，就可以做出回应。