CORS

Web 课程的一部分

你的前端跑在 localhost:3000，你的 API 跑在 localhost:8000，那个在 curl 里好好的请求，到了浏览器里却挂掉了，控制台还飘出一条关于 Access-Control-Allow-Origin 的红色消息。其实什么都没坏。浏览器做的正是它被设计出来要做的事，而且它挡下的是一种真实存在的攻击，修复办法也不过是服务器上的一个响应头。但在有人讲清楚这条规则是什么、为什么要有它之前，CORS 感觉就像横在你和一个顺利下午之间的一道莫名其妙的障碍。

浏览器强制执行一条叫做同源策略的边界：从某个源加载的 JavaScript，不得读取来自另一个源的响应，除非那个源明确许可。 ...