1.客户端从http://siteA-原产地。

进行下载的代码-您的html脚本标记或来自javascript的xhr或其他任何东西-来自，比方说，http://siteZ.而且，当浏览器请求MyCode.js时，它会发送一个Origin:头，上面写着“Origin:http://siteZ“，因为它可以看到您正在请求siteA和siteZ！=siteA。（您不能停止或干扰此操作。）

2.MyCode.js的响应头包含Access Control Allow Origin：http://siteB，我认为这意味着允许MyCode.js对站点B进行跨源引用。

不。这意味着，只有站点B才允许执行此请求。因此，您从siteZ请求MyCode.js时会出现错误，浏览器通常不会提供任何信息。但是如果你让你的服务器返回A-C-A-O:siteZ，你会得到MyCode.js。或者如果它发送'*'，这会起作用，这会让所有人都进来。或者如果服务器总是从Origin:header发送字符串。。。但是为了安全起见，如果你害怕黑客，你的服务器应该只允许短名单上的来源，允许他们提出这些请求。

然后，MyCode.js来自siteA。当它向站点B发出请求时，它们都是跨源的，浏览器发送origin:siteA，站点B必须接收站点A，识别它在允许的请求者的短列表中，然后发送A-C-A-O:siteA。只有这样，浏览器才会让脚本获得这些请求的结果。

根据Mozilla开发者网络的这篇文章，

当资源从不同于第一个资源本身服务的域或端口请求资源时，它会发出跨源HTTP请求。

来自的HTML页面http://domain-a.com对发出＜img＞src请求http://domain-b.com/image.jpg.今天，网络上的许多页面从不同的域加载CSS样式表、图像和脚本等资源（因此应该很酷）。

同源政策

出于安全原因，浏览器限制从脚本中发起的跨源HTTP请求。例如，XMLHttpRequest和Fetch遵循相同的源策略。因此，使用XMLHttpRequest或Fetch的web应用程序只能向自己的域发出HTTP请求。

跨源资源共享（CORS）

为了改进web应用程序，开发人员要求浏览器供应商允许跨域请求。

跨源资源共享（CORS）机制为web服务器提供跨域访问控制，从而实现安全的跨域数据传输。现代浏览器在API容器（如XMLHttpRequest或fetch）中使用CORS来降低跨源HTTP请求的风险。

CORS的工作原理（Access Control Allow Origin标头）

维基百科：

CORS标准描述了新的HTTP头，它为浏览器和服务器提供了一种只有在他们有权限时才请求远程URL的方式。

虽然服务器可以执行一些验证和授权，但浏览器通常有责任支持这些标头并遵守它们施加的限制。

实例

浏览器发送OPTIONS请求和Origin HTTP头。

此标头的值是为父页提供服务的域。当页面来自http://www.example.com尝试访问service.example.com中的用户数据时，将向service.example.com:

Origin: http://www.example.com

service.example.com上的服务器可能会响应：

其响应中的访问控制允许源站（ACAO）标头指示允许哪些源站。例如：访问控制允许来源：http://www.example.com如果服务器不允许跨源请求，则显示错误页面带有通配符的访问控制允许来源（ACAO）标头，允许所有域：访问控制允许来源：*

访问控制允许源是CORS（跨源资源共享）标头。

当站点A尝试从站点B获取内容时，站点B可以发送一个访问控制允许源站响应标头，告诉浏览器此页面的内容可由特定源站访问。（源站是一个域，加上一个方案和端口号。）默认情况下，站点B的页面不可由任何其他源站访问；使用Access Control Allow Origin（访问控制允许来源）标头为特定请求来源的跨来源访问打开了一扇门。

对于站点B希望站点A访问的每个资源/页面，站点B应为其页面提供响应标题：

Access-Control-Allow-Origin: http://siteA.com

现代浏览器不会完全阻止跨域请求。如果站点A从站点B请求页面，浏览器将在网络级别实际获取请求的页面，并检查响应标头是否将站点A列为允许的请求者域。如果站点B未指示站点A被允许访问此页面，浏览器将触发XMLHttpRequest的错误事件，并拒绝向请求的JavaScript代码提供响应数据。

非简单请求

在网络层面发生的事情可能比上面解释的稍微复杂一些。如果请求是“非简单”请求，则浏览器首先发送一个无数据的“预检”OPTIONS请求，以验证服务器是否接受该请求。在以下情况之一（或两者）时，请求是非简单的：

使用GET或POST以外的HTTP动词（例如PUT、DELETE）使用非简单请求头；唯一简单的请求头是：接受接受语言内容语言内容类型（仅当其值为application/x-wwww-form-urlencoded、multipart/form-data或text/plain时才简单）

如果服务器使用与非简单谓词和/或非简单标头匹配的适当响应标头（非简单标头的访问控制允许标头，非简单谓词的访问控制方法）响应OPTIONS预检，则浏览器发送实际请求。

假设站点A想要发送一个对/somePage的PUT请求，其中一个非简单的Content-Type值为application/json，浏览器将首先发送一个预检请求：

OPTIONS /somePage HTTP/1.1
Origin: http://siteA.com
Access-Control-Request-Method: PUT
Access-Control-Request-Headers: Content-Type

注意，访问控制请求方法和访问控制请求头由浏览器自动添加；您不需要添加它们。此OPTIONS预检获得成功的响应标头：

Access-Control-Allow-Origin: http://siteA.com
Access-Control-Allow-Methods: GET, POST, PUT
Access-Control-Allow-Headers: Content-Type

在发送实际请求时（飞行前完成后），行为与处理简单请求的方式相同。换言之，预飞成功的非简单请求被视为简单请求（即，服务器仍然必须再次发送访问控制允许源以获得实际响应）。

浏览器发送实际请求：

PUT /somePage HTTP/1.1
Origin: http://siteA.com
Content-Type: application/json

{ "myRequestContent": "JSON is so great" }

服务器会发回一个“访问控制允许源”，就像对一个简单的请求一样：

Access-Control-Allow-Origin: http://siteA.com

有关非简单请求的更多信息，请参阅了解CORS上的XMLHttpRequest。

根据我自己的经验，很难找到一个简单的解释，为什么CORS甚至是一个问题。

一旦你明白了为什么会出现，标题和讨论就会变得更加清晰。我会在几行字里尝试一下。

都是关于饼干的。Cookie按其域存储在客户端上。

一个例子：在你的电脑上，有一个你的bank.com的cookie。也许你的会话就在那里。

要点：当客户端向服务器发出请求时，它将发送存储在该请求的域下的cookie。

您已在浏览器上登录到yourbank.com。您请求查看您的所有帐户，并为yourbank.com发送cookie。yourbank.com收到一堆cookie，并发回其响应（您的帐户）。

如果另一个客户机向服务器发出跨源请求，则会像以前一样发送这些cookie。如罗。

你浏览到malicious.com。malicious向不同的银行发出一系列请求，包括yourbank.com。

由于cookie按预期进行了验证，服务器将授权响应。

这些饼干被收集起来并一起发送——现在，malious.com收到了您银行的回复。

诶呀

现在，一些问题和答案变得显而易见：

“我们为什么不阻止浏览器这样做？”是的。这是CORS。“我们怎么解决？”让服务器告诉请求CORS正常。

我无法在后端服务器上配置它，但通过浏览器中的这些扩展，它对我很有用：

对于Firefox：

CORS无处不在

对于Google Chrome：

允许CORS：访问控制允许源

注意：CORS适用于此配置：

大多数CORS问题是因为您试图通过客户端ajax从前端基本库react、angular、jquery应用程序请求。

您必须从后端应用程序请求。

您正在尝试从前端API请求，但您尝试使用的API期望此请求来自后端应用程序，并且它永远不会接受客户端请求。