CORS跨域共享相关响应头

一、CROS概念

CORS是一个W3C标准，Cross-origin resource sharing，跨域资源共享，允许浏览器向跨源服务器发出XMLHttpRequest请求，解决了AJAX只允许同源使用的限制。

二、支持跨域配置

为了支持CORS跨域访问，响应头添加的配置如下：

Access-Control-Allow-Origin: *
Access-Control-Allow-Methods: GET,POST,OPTIONS,PUT,DELETE
Access-Control-Allow-Headers: DNT,X-Mx-ReqToken,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization
Access-Control-Allow-Credentials: true
Access-Control-Max-Age: 3600

三、响应头详解

• Access-Control-Allow-Origin

必填字段，取值可以是请求时Origin字段的值，也可以是*，表示接受任意域名的请求。

• Access-Control-Allow-Methods

必填字段，取值是逗号分隔的一个字符串，设置服务器支持的跨域请求的方法。

• Access-Control-Allow-Headers

可选字段，CORS请求时默认支持6个基本字段：

Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma

• Access-Control-Allow-Credentials

可选字段，布尔值类型，表示是否允许发送Cookie。默认情况下，Cookie不包括在CORS请求之中；如果设为true，即表示服务器允许在请求中包含Cookie，一起发给服务器。

• Access-Control-Max-Age

可选字段，用来指定预检请求的有效期，单位为秒，在此期间不用发出另一条预检请求，不指定时即使用默认值，Chrome默认5秒。

可参考下图

四、预检请求

请求分为简单请求和非简单请求，非简单请求会发送预检请求

• 简单请求
  • 请求方法是以下三种之一: GET,HEAD,POST
  • HTTP的头信息不超出以下几种字段: Accept,Accept-Language,Content-Language,Last-Event-ID,Content-Type
  • Content-Type的值仅限以下三种: text\plain,multipart/form-data,application/x-www-form-urlencoded
• 除此之外均为非简单请求，可以概括为以下三点会发送预检请求
  • 请求头Content-Type为application/json
  • 设置了用户自定义请求头
  • delete方法