CORS 实现资源共享

Question

CORS 通过一种叫做 Preflighted Requests 的透明服务器验证机制支持开发人员使用自定义的头部、GET 或 POST 之外的方法，以及不同类型的主体内容。在使用下列高级选项来发送请求时，就会向服务器发送一个 Preflight 请求。这种请求使用 OPTIONS 方法，发送下列头部。

1. Origin ：与简单的请求相同。
2. Access-Control-Request-Method ：请求自身使用的方法。
3. Access-Control-Request-Headers ：（可选）自定义的头部信息，多个头部以逗号分隔。

以下是一个带有自定义头部 NCZ 的使用 POST 方法发送的请求。

Origin: http://www.nczonline.net
Access-Control-Request-Method: POST
Access-Control-Request-Headers: NCZ

发送这个请求后，服务器可以决定是否允许这种类型的请求。服务器通过在响应中发送如下头部与浏览器进行沟通。

1. Access-Control-Allow-Origin ：与简单的请求相同。
2. Access-Control-Allow-Methods ：允许的方法，多个方法以逗号分隔。
3. Access-Control-Allow-Headers ：允许的头部，多个头部以逗号分隔。
4. Access-Control-Max-Age ：应该将这个 Preflight 请求缓存多长时间（以秒表示）。

例如：

Access-Control-Allow-Origin: http://www.nczonline.net
Access-Control-Allow-Methods: POST, GET
Access-Control-Allow-Headers: NCZ
Access-Control-Max-Age: 1728000

Preflight 请求结束后，结果将按照响应中指定的时间缓存起来。而为此付出的代价：只是第一次发送这种请求时会多一次 HTTP 请求。