We're looking for a user researcher to understand the needs of developers and designers. Is this you or someone you know? Check out the post: https://mzl.la/2IGzdXS

Access-Control-Allow-Origin 响应头指定了该响应的资源是否被允许与给定的origin共享。
 
Header type Response header
Forbidden header name no

语法

Access-Control-Allow-Origin: *
Access-Control-Allow-Origin: <origin>

指令

*
对于不需具备凭证(credentials)的请求,服务器会以“*”作为通配符,从而允许所有域都具有访问资源的权限。
<origin>
指定一个可以访问资源的URI。

示例

如需允许所有资源都可以访问的资源,您可以如此设置:

Access-Control-Allow-Origin: *

如需允许https://developer.mozilla.org访问您的资源,您可以设置:

Access-Control-Allow-Origin: https://developer.mozilla.org

CORS和缓存

如果服务器未使用“*”,而是指定了一个域,那么为了向客户端表明服务器的返回会根据Origin请求头而有所不同,必须在Vary响应头中包含Origin

Access-Control-Allow-Origin: https://developer.mozilla.org
Vary: Origin

规范

规范 状态 注释
Fetch
Access-Control-Allow-Origin
Living Standard 初始定义

浏览器兼容性

No compatibility data found. Please contribute data for "http/headers/access-control-allow-origin" (depth: 1) to the MDN compatibility data repository.

参见

文档标签和贡献者

此页面的贡献者: TiaossuP, konrumi
最后编辑者: TiaossuP,