显然，我完全误解了它的语义。我想到了这样的事情：
客户端从下载JavaScript代码MyCode.jshttp://siteA-原产地。MyCode.js的响应标头包含Access Control Allow Origin：http://siteB，我认为这意味着允许MyCode.js对站点B进行跨源引用。客户端触发MyCode.js的一些功能，进而向http://siteB，这应该可以，尽管是跨源请求。
嗯，我错了。它根本不是这样工作的。所以，我已经阅读了跨源资源共享，并尝试阅读w3c推荐中的跨源资源分享。
有一点是肯定的——我仍然不明白我应该如何使用这个标题。
我完全控制站点A和站点B。如何使从站点A下载的JavaScript代码使用此标头访问站点B上的资源？
备注：我不想使用JSONP。
当前回答
Nginx和Apache
作为apsiller答案的补充，我想添加一个wiki图表，显示请求是否简单（OPTIONS航班前请求是否发送）
对于一个简单的请求（例如，热链接图像），您不需要更改服务器配置文件，但您可以像Melvin Guerrero在回答中提到的那样在应用程序（托管在服务器上，例如，在PHP中）中添加头标，但请记住：如果您在服务器（配置）中添加完整的CORS头标，同时在应用程序中允许简单的CORS（例如，PHP），这根本行不通。
下面是两种常用服务器的配置：
打开Nginx上的CORS（Nginx.conf文件）位置~^/index\.php（/|$）{...add_header'访问控制允许来源'“$http_Origin”始终；#如果您将“$http_origin”更改为“*”，您将得到相同的结果-允许所有域使用CORS（但最好将其更改为您的特定域）add_header“访问控制允许凭据”“始终为true”；if（$request_method=OPTIONS）{add_header'访问控制允许来源'“$http_Origin”；#请勿移除该行（用上面的外部“if”加倍）add_header'访问控制允许凭据''true'；add_header'访问控制最大年龄'1728000；#缓存20天的飞行前值add_header'访问控制允许方法''GET，POST，OPTIONS'；#任意方法add_header'访问控制允许标头''我的第一个标头，我的第二个标头，授权，内容类型，接受，来源'；#任意标头add_header“内容长度”0；add_header“内容类型”“text/plain charset=UTF-8”；返回204；}}在Apache上打开CORS（.htaccess文件）# ------------------------------------------------------------------------------#|跨域Ajax请求|# ------------------------------------------------------------------------------#启用跨源Ajax请求。# http://code.google.com/p/html5security/wiki/CrossOriginRequestSecurity# http://enable-cors.org/#将下面的*（允许任何域）更改为您的域标题集访问控制允许来源“*”标头始终设置访问控制允许方法“POST、GET、OPTIONS、DELETE、PUT”标头始终设置访问控制允许标头“My First Header，My Second Header，Authorization，content type，csrf token”标头始终将访问控制允许凭据设置为“true”
其他回答
只需将以下代码粘贴到web.config文件中。
注意，您必须在<system.webServer>标记下粘贴以下代码
<httpProtocol>
<customHeaders>
<add name="Access-Control-Allow-Origin" value="*" />
<add name="Access-Control-Allow-Headers" value="Content-Type" />
<add name="Access-Control-Allow-Methods" value="GET, POST, PUT, DELETE, OPTIONS" />
</customHeaders>
</httpProtocol>
根据我自己的经验，很难找到一个简单的解释，为什么CORS甚至是一个问题。
一旦你明白了为什么会出现，标题和讨论就会变得更加清晰。我会在几行字里尝试一下。
都是关于饼干的。Cookie按其域存储在客户端上。
一个例子：在你的电脑上，有一个你的bank.com的cookie。也许你的会话就在那里。
要点：当客户端向服务器发出请求时，它将发送存储在该请求的域下的cookie。
您已在浏览器上登录到yourbank.com。您请求查看您的所有帐户，并为yourbank.com发送cookie。yourbank.com收到一堆cookie，并发回其响应（您的帐户）。
如果另一个客户机向服务器发出跨源请求，则会像以前一样发送这些cookie。如罗。
你浏览到malicious.com。malicious向不同的银行发出一系列请求，包括yourbank.com。
由于cookie按预期进行了验证，服务器将授权响应。
这些饼干被收集起来并一起发送——现在，malious.com收到了您银行的回复。
诶呀
现在，一些问题和答案变得显而易见：
“我们为什么不阻止浏览器这样做？”是的。这是CORS。“我们怎么解决？”让服务器告诉请求CORS正常。
如果您只想测试浏览器阻止您请求的跨域应用程序，那么您可以在不安全模式下打开浏览器并测试应用程序，而不更改代码，也不使代码不安全。
在macOS中，您可以从终端行执行此操作：
open -a Google\ Chrome --args --disable-web-security --user-data-dir
注：仅用于测试的临时解决方案
对于那些无法控制“选项405方法不允许”的后端的人，这里有一个解决方案，用于“颜色”浏览器。
在命令行中执行：
“C:\Program Files（x86）\Google\Chrome\Application\Chrome.exe”--禁用web安全--用户数据dir=“path_to_file”
例子：
“C:\Program Files（x86）\Google\Chrome\Application\Chrome.exe”--禁用web安全--用户数据dir=“C:\Users\vital\AppData\Local\Google\Cherme\user data\Profile 2”
使用React和Axios，将代理链接连接到URL，并添加标头，如下所示：
https://cors-anywhere.herokuapp.com/+您的API URL
只需添加代理链接即可，但它也可能再次引发“无访问”错误。因此，最好添加一个标题，如下所示。
axios.get(`https://cors-anywhere.herokuapp.com/[YOUR_API_URL]`,{headers: {'Access-Control-Allow-Origin': '*'}})
.then(response => console.log(response:data);
}
警告：不得用于生产
这只是权宜之计。如果你在纠结为什么你不能得到回应，你可以使用这个。但这同样不是生产的最佳答案。
