显然，我完全误解了它的语义。我想到了这样的事情：
客户端从下载JavaScript代码MyCode.jshttp://siteA-原产地。MyCode.js的响应标头包含Access Control Allow Origin：http://siteB，我认为这意味着允许MyCode.js对站点B进行跨源引用。客户端触发MyCode.js的一些功能，进而向http://siteB，这应该可以，尽管是跨源请求。
嗯，我错了。它根本不是这样工作的。所以，我已经阅读了跨源资源共享，并尝试阅读w3c推荐中的跨源资源分享。
有一点是肯定的——我仍然不明白我应该如何使用这个标题。
我完全控制站点A和站点B。如何使从站点A下载的JavaScript代码使用此标头访问站点B上的资源？
备注：我不想使用JSONP。
当前回答
我使用Express.js 4、Node.js 7.4和Angular，但遇到了同样的问题。这帮助了我：
a） 服务器端：在app.js文件中，我向所有响应添加头，比如：
app.use(function(req, res, next) {
res.header('Access-Control-Allow-Origin', req.headers.origin);
res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept");
next();
});
这必须在所有路线之前。
我看到很多人添加了这个标题：
res.header("Access-Control-Allow-Headers","*");
res.header('Access-Control-Allow-Credentials', true);
res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE');
但我不需要，
b） 客户端：通过Ajax发送时，需要添加“withCredentials：true”，如：
$http({
method: 'POST',
url: 'url',
withCredentials: true,
data : {}
}).then(function(response){
// Code
}, function (response) {
// Code
});
其他回答
在Python中，我一直在成功地使用Flask CORS库。它使处理CORS变得非常容易和轻松。我从下面的库文档中添加了一些代码。
安装：
pip install -U flask-cors
允许所有路由上所有域的CORS的简单示例：
from flask import Flask
from flask_cors import CORS
app = Flask(__name__)
CORS(app)
@app.route("/")
def helloWorld():
return "Hello, cross-origin-world!"
有关更多具体示例，请参阅文档。我使用了上面的简单示例来解决我正在构建的Ionic应用程序中的CORS问题，该应用程序必须访问单独的烧瓶服务器。
对于跨源共享，请设置标题：“Access Control Allow origin”：“*”；
Php:header（“访问控制-允许原始”：“*”）；
节点：app.use（'Access-Control-Allow-Origin'：'*'）；
这将允许共享不同域的内容。
根据Mozilla开发者网络的这篇文章，
当资源从不同于第一个资源本身服务的域或端口请求资源时，它会发出跨源HTTP请求。
来自的HTML页面http://domain-a.com对发出＜img＞src请求http://domain-b.com/image.jpg.今天，网络上的许多页面从不同的域加载CSS样式表、图像和脚本等资源（因此应该很酷）。
同源政策
出于安全原因，浏览器限制从脚本中发起的跨源HTTP请求。例如，XMLHttpRequest和Fetch遵循相同的源策略。因此，使用XMLHttpRequest或Fetch的web应用程序只能向自己的域发出HTTP请求。
跨源资源共享（CORS）
为了改进web应用程序，开发人员要求浏览器供应商允许跨域请求。
跨源资源共享（CORS）机制为web服务器提供跨域访问控制，从而实现安全的跨域数据传输。现代浏览器在API容器（如XMLHttpRequest或fetch）中使用CORS来降低跨源HTTP请求的风险。
CORS的工作原理（Access Control Allow Origin标头）
维基百科：
CORS标准描述了新的HTTP头，它为浏览器和服务器提供了一种只有在他们有权限时才请求远程URL的方式。
虽然服务器可以执行一些验证和授权，但浏览器通常有责任支持这些标头并遵守它们施加的限制。
实例
浏览器发送OPTIONS请求和Origin HTTP头。
此标头的值是为父页提供服务的域。当页面来自http://www.example.com尝试访问service.example.com中的用户数据时，将向service.example.com:
Origin: http://www.example.com
service.example.com上的服务器可能会响应：
其响应中的访问控制允许源站（ACAO）标头指示允许哪些源站。例如：访问控制允许来源：http://www.example.com如果服务器不允许跨源请求，则显示错误页面带有通配符的访问控制允许来源（ACAO）标头，允许所有域：访问控制允许来源：*
大多数CORS问题是因为您试图通过客户端ajax从前端基本库react、angular、jquery应用程序请求。
您必须从后端应用程序请求。
您正在尝试从前端API请求，但您尝试使用的API期望此请求来自后端应用程序，并且它永远不会接受客户端请求。
1.客户端从http://siteA-原产地。
进行下载的代码-您的html脚本标记或来自javascript的xhr或其他任何东西-来自，比方说，http://siteZ.而且，当浏览器请求MyCode.js时，它会发送一个Origin:头，上面写着“Origin:http://siteZ“，因为它可以看到您正在请求siteA和siteZ！=siteA。（您不能停止或干扰此操作。）
2.MyCode.js的响应头包含Access Control Allow Origin：http://siteB，我认为这意味着允许MyCode.js对站点B进行跨源引用。
不。这意味着，只有站点B才允许执行此请求。因此，您从siteZ请求MyCode.js时会出现错误，浏览器通常不会提供任何信息。但是如果你让你的服务器返回A-C-A-O:siteZ，你会得到MyCode.js。或者如果它发送'*'，这会起作用，这会让所有人都进来。或者如果服务器总是从Origin:header发送字符串。。。但是为了安全起见，如果你害怕黑客，你的服务器应该只允许短名单上的来源，允许他们提出这些请求。
然后，MyCode.js来自siteA。当它向站点B发出请求时，它们都是跨源的，浏览器发送origin:siteA，站点B必须接收站点A，识别它在允许的请求者的短列表中，然后发送A-C-A-O:siteA。只有这样，浏览器才会让脚本获得这些请求的结果。
