跨域资源共享（Cross-Origin Resource Sharing，简称CORS）是一个用于解决跨域访问问题的机制。在Web开发中，当一个网页向不同源（域名、协议、端口）发起请求时，由于浏览器的同源策略限制，会阻止这种跨域请求。CORS定义了浏览器如何处理跨域请求，以允许服务器决定是否接受来自不同源的请求。
需要跨域资源共享的情况
通常情况下，浏览器会阻止以下情况下的跨域请求：
- 原始请求和响应的域不同。
- 原始请求使用了不同的协议（如http和https）。
- 原始请求和响应使用了不同的端口号。
如果没有正确配置CORS，浏览器将阻止对跨域资源的访问，并显示一个错误。
CORS解决方案
对于希望允许跨域请求的服务器，需要在响应头中添加一些特定的头信息以便浏览器能够识别并允许跨域访问。下面是一些常用的CORS解决方案：
1. Access-Control-Allow-Origin
服务器可以在响应头中添加Access-Control-Allow-Origin字段来指定允许访问的源。例如，如果希望允许所有的源访问资源，可以将该字段设置为*，或者指定具体的源。例如：
Access-Control-Allow-Origin: *
Access-Control-Allow-Origin: https://example.com
2. Access-Control-Allow-Methods
为了限制允许的HTTP方法类型，服务器可以在响应头中添加Access-Control-Allow-Methods字段。例如，如果只允许GET和POST方法，可以设置如下：
Access-Control-Allow-Methods: GET, POST
3. Access-Control-Allow-Headers
在跨域请求中，有一些默认的请求头（如Content-Type）允许发送，而有一些不允许。服务器可以使用Access-Control-Allow-Headers字段来允许或限制这些请求头的发送。例如，允许所有默认请求头和自定义头：
Access-Control-Allow-Headers: *
4. Access-Control-Allow-Credentials
默认情况下，跨域请求不会发送凭证信息（如Cookie、HTTP认证等）。如果希望发送凭证信息，服务器需要设置Access-Control-Allow-Credentials字段为true。例如：
Access-Control-Allow-Credentials: true
5. Access-Control-Max-Age
为了减少对服务器的预检请求（OPTIONS请求）的发送，服务器可以设置Access-Control-Max-Age字段来指定预检请求缓存的时间（以秒为单位）。例如：
Access-Control-Max-Age: 3600
6. Preflight请求
当发起包含自定义请求头、不被浏览器认可的HTTP方法或非简单请求的跨域请求时，浏览器会先发送一个OPTIONS请求来验证服务器是否允许实际的请求。服务器需要正确响应这个OPTIONS请求，包含上述提到的跨域头信息，以便浏览器能够发送真正的跨域请求。
总结
通过CORS机制，服务器可以决定是否接受跨域访问，以及允许访问的源、方法和请求头。这有助于增加Web应用程序与不同源的交互，提高用户体验和安全性。
了解和正确配置CORS头信息对于处理跨域访问问题至关重要，以确保客户端能够正常访问跨域资源。
本文来自极简博客，作者：梦里花落，转载请注明原文链接：了解跨域资源共享（CORS）和如何解决它
