Access-Control-Allow-Origin

Access-Control-Allow-Origin 响应头指定了该响应的资源是否被允许与给定的origin共享。
 
Header type Response header
Forbidden header name no

语法

Access-Control-Allow-Origin: *
Access-Control-Allow-Origin: <origin>

指令

*
对于不需具备凭证(credentials)的请求,服务器会以“*”作为通配符,从而允许所有域都具有访问资源的权限。
<origin>
指定一个可以访问资源的URI。

示例

如需允许所有资源都可以访问的资源,您可以如此设置:

Access-Control-Allow-Origin: *

如需允许https://developer.mozilla.org访问您的资源,您可以设置:

Access-Control-Allow-Origin: https://developer.mozilla.org

CORS和缓存

如果服务器未使用“*”,而是指定了一个域,那么为了向客户端表明服务器的返回会根据Origin请求头而有所不同,必须在Vary响应头中包含Origin

Access-Control-Allow-Origin: https://developer.mozilla.org
Vary: Origin

规范

规范 状态 注释
Fetch
Access-Control-Allow-Origin
Living Standard 初始定义

浏览器兼容性

Feature Chrome Edge Firefox Internet Explorer Opera Safari Servo
Access-Control-Allow-Origin4123.510124?
Feature Android Chrome for Android Edge Mobile Firefox for Android IE Mobile Opera Mobile Safari Mobile
Access-Control-Allow-Origin2.1(Yes)(Yes)1.0(Yes)123.2

参见

文档标签和贡献者