为什么我的JavaScript代码收到“请求的资源上不存在‘Access Control Allow Origin’标头”错误，而Postman没有？

修改说明：这个问题是关于为什么XMLHttpRequest/fetch等。在浏览器上，Postman不受相同访问策略限制（您会收到提到CORB或CORS的错误）。这个问题不是关于如何修复“No‘Access Control Allow Origin’…”错误。这是关于它们发生的原因。

请停止发布：阳光下每种语言/框架的CORS配置。而是找到相关语言/框架的问题。允许请求绕过CORS的第三方服务用于关闭各种浏览器的CORS的命令行选项

我试图通过连接RESTful API内置Flask来使用JavaScript进行授权。但是，当我发出请求时，我会收到以下错误：

XMLHttpRequest cannot load http://myApiUrl/login. 
No 'Access-Control-Allow-Origin' header is present on the requested resource. 
Origin 'null' is therefore not allowed access.

我知道API或远程资源必须设置标头，但当我通过Chrome扩展Postman发出请求时，为什么它会起作用？

这是请求代码：

$.ajax({
      type: 'POST',
      dataType: 'text',
      url: api,
      username: 'user',
      password: 'pass',
      crossDomain: true,
      xhrFields: {
        withCredentials: true,
      },
    })
      .done(function (data) {
        console.log('done');
      })
      .fail(function (xhr, textStatus, errorThrown) {
        alert(xhr.responseText);
        alert(textStatus);
      });

当前回答

出于浏览器测试目的：

Windows-运行：

chrome.exe --user-data-dir="C://Chrome dev session" --disable-web-security

上面的命令将禁用chrome web安全性。因此，例如，如果您正在处理本地项目，并且在尝试发出请求时遇到CORS策略问题，则可以使用上述命令跳过此类错误。基本上，它将打开一个新的铬会话。

2022-01-10 12:28:36

其他回答

对我来说，我遇到这个问题是因为不同的原因，远程域被添加到源，部署的应用程序工作得很好，除了一个端点我遇到了这个问题：

Origin https://mai-frontend.vercel.app is not allowed by Access-Control-Allow-Origin. Status code: 500

and

Fetch API cannot load https://sciigo.herokuapp.com/recommendations/recommendationsByUser/8f1bb29e-8ce6-4df2-b138-ffe53650dbab due to access control checks.

在更新Heroku数据库表后，我发现我的Heroku数据表并不包含本地表的所有列。

2022-11-28 00:19:45

通过在全球范围内应用此中间件，它对我很有用：

<?php

    namespace App\Http\Middleware;

    use Closure;

    class Cors {
       public function handle($request, Closure $next) {
           return $next($request)
                   ->header('Access-Control-Allow-Origin', '*')
                   ->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS')
                   ->header('Access-Control-Allow-Headers', "Accept,authorization,Authorization, Content-Type");
       }
    }

2022-08-11 05:44:38

应用CORS限制是由服务器定义并由浏览器实现的安全功能。

浏览器查看服务器的CORS策略并尊重它。

然而，Postman工具并不关心服务器的CORS策略。

这就是为什么CORS错误出现在浏览器中，而不是Postman中。

2020-02-02 10:27:43

如果我理解正确的话，您正在对与页面所在的域不同的域执行XMLHttpRequest。因此浏览器会阻止它，因为出于安全原因，它通常允许来自同一源的请求。当您想要进行跨域请求时，需要做一些不同的事情。

当您使用Postman时，他们不受此策略的限制。引自跨源XMLHttpRequest：

常规网页可以使用XMLHttpRequest对象从远程服务器发送和接收数据，但它们受到同源策略的限制。扩展不受限制。只要扩展首先请求跨源权限，它就可以与源之外的远程服务器通信。

2013-11-17 19:49:53

要解决此问题，请在后台使用的doGet（）或doPost（）函数中编写这行代码

response.setHeader（“访问控制允许来源”，“*”）；