| 名称 | Origin |
|---|---|
| 作用 | 跨域请求来源标识；CORS 校验依据 |
| 规范 | RFC 6454（The Web Origin Concept）；Fetch 标准 |
| 形式 | https://app.example.com（无路径）；沙箱/隐私场景可能为 null |
观察跨域请求头
观察跨域请求头
curl -si -X POST https://api.example.com/data \
-H 'Origin: https://app.example.com' -H 'Content-Type: application/json' -d '{}'
# 响应应包含：Access-Control-Allow-Origin: https://app.example.com同源 GET 通常不带 Origin；POST/PUT/DELETE 等跨域请求以及所有 CORS 预检都会带。服务端绝不能原样回显任意 Origin 加上 Allow-Credentials，等于全放行。