CORS（Cross-Origin Resource Sharing）

CORS（Cross-Origin Resource Sharing，跨源资源共享）是一种机制，允许不同源（即协议、域名或端口不同的页面）的Web页面访问另一个源的资源。CORS 定义了一种方式，使得服务器能够通过设置特定的HTTP头信息来告诉浏览器允许哪些源的请求。

CORS 的工作原理：

1. 简单请求：

   • 对于简单请求（如GET、HEAD或POST请求，且POST请求的Content-Type为application/x-www-form-urlencoded、multipart/form-data或text/plain之一），浏览器会直接发送请求，不会触发预检请求（Preflight Request）。

2. 预检请求：

   • 对于非简单请求，浏览器会先发送一个HTTP OPTIONS请求到服务器，询问是否允许实际的请求。这个预检请求会包含：
     • Access-Control-Request-Method：请求中实际使用的HTTP方法。
     • Access-Control-Request-Headers：请求中将要使用的自定义头信息。

3. 服务器响应：

   • 服务器接收到预检请求后，需要在响应中包含CORS相关的头信息：
     • Access-Control-Allow-Origin：指定允许访问资源的源，可以是具体的URL或*（通配符，表示允许所有源）。
     • Access-Control-Allow-Methods：允许的HTTP方法。
     • Access-Control-Allow-Headers：允许的自定义头信息。
     • Access-Control-Max-Age：预检请求的缓存时间。

4. 浏览器处理预检请求的响应：

   • 浏览器检查预检请求的响应，如果服务器允许跨域请求，浏览器会发送实际的请求。

5. 实际请求和响应：

   • 服务器处理实际请求，并在响应中包含必要的CORS头信息。

6. 凭据支持：

   • 如果需要携带Cookie或HTTP认证信息进行跨域请求，服务器需要在响应头中设置Access-Control-Allow-Credentials为true，并且客户端请求时需要设置withCredentials为true。

7. 安全考虑：

   • 出于安全考虑，使用CORS时应该避免使用通配符*作为Access-Control-Allow-Origin的值，因为这可能会使资源暴露给恶意网站。

CORS 的优点：

• 安全性：CORS 提供了一种安全的方式来允许不同源的页面访问服务器的资源，同时保持了Web应用的安全性。
• 灵活性：CORS 允许服务器精确控制哪些源可以访问资源，以及允许哪些HTTP方法和头信息。
• 现代性：CORS 是现代Web开发中的标准做法，被广泛支持。

CORS 的应用场景：

• Web API：如RESTful API，允许前端应用从不同的源请求数据。
• Web Components：如iframe，允许跨域加载和交互。
• 第三方服务：如社交媒体登录、地图服务等。

CORS 是Web开发中处理跨域问题的重要工具，它使得Web应用能够更加灵活和安全地进行跨源通信。