CORS 跨域机制与响应头组

浏览器同源策略下的跨域授权协议：服务端用一组 Access-Control-* 响应头声明谁可以以何种方式访问。

协议速查网络更新于 2026-10-12

CORS 响应头组

响应头	作用
Access-Control-Allow-Origin	允许的源（* 或具体源，与凭证互斥）
Access-Control-Allow-Methods	预检允许的方法
Access-Control-Allow-Headers	预检允许的请求头
Access-Control-Allow-Credentials	是否允许携带凭证（true 时 ACAO 不能为 *）
Access-Control-Max-Age	预检结果缓存秒数
Access-Control-Expose-Headers	允许前端读取的非简单响应头

Access-Control-Allow-Origin: https://app.example.com
Access-Control-Allow-Credentials: true
Vary: Origin

Allow-Origin 动态回显任意来源 + Allow-Credentials: true 是最常见的 CORS 配置漏洞（等于对所有站点开放）。必须按白名单校验。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌