HTTP安全响应头配置之Access-Control-Allow-Origin

目的

Access-Control-Allow-Origin是从Cross Origin Resource Sharing (CORS)中分离出来的。这个header是决定哪些网站可以访问资源，通过定义一个通配符来决定是单一的网站还是所有网站可以访问我们的资源。需要注意的是，如果定义了通配符，那么 Access-Control-Allow-Credentials选项就无效了，而且user-agent的cookies不会在请求里发送。

正确的设置

* – 通配符允许任何远程资源来访问含有Access-Control-Allow-Origin 的内容。  
http://www.example.com – 只允许特定站点才能访问(http://[host], 或者 https://[host])

通常不正确的设置

http://example.com, http://web2.example.com – 多个站点是不支持的，只能配置一个站点。  
*.example.com – 只允许单一的站点  
http://*.example.com – 同上面一样

如何检测

很容易就能确定这个header是否被设置的正确，因为如果设置错误的话，CORS请求就会接收不到数据。