Web世界的邦交國政策 — 跨來源資源共用（Cross-Origin Resource Sharing, CORS）

如何運作？

1. Access-Control-Allow-Methods： 伺服器允許存取的方法(GET、POST、...)。
2. Access-Control-Allow-Headers： 伺服器允許存取的標頭。

簡單請求(Simple Request)

這類型的請求並不會造成太大的損傷，因此會直接將請求條件送到伺服端進行，伺服端回應後，才進行檢核動作，而簡單的請求條件如下：

• Http方法： GET、POST、Head。
• Content-Type：application/x-www-form-urlencoded multipart/form-data text/plain

預檢請求(Preflight Request)

這類型的請求就可能具有危險性，因此會先探詢伺服器之後允許的範圍之後，若該次的請求符合條件，才將真正的請求往後送，如此一來便能多一層保障。

如何透過CORS機制允許不同源存取？

• 請求的來源(Access-Control-Allow-Origin)： 有些開發者會使用「*」，代表所有網域都可以存取，雖然簡單，但也添增風險，因此如果屬於開放式服務，就不建議這麼做了。
• 請求的方法(Access-Control-Allow-Methods)： 讀、寫、修改、刪除...。
• 請求的資料格式(Access-Control-Allow-Headers)： json、xml...。