http - 访问控制允许方法的默认值

Question

我刚刚了解了 Access-Control-Allow-Methods header ，例如

Access-Control-Allow-Methods: OPTIONS, HEAD, GET

我从未使用过此 header (只是 Access-Control-Allow-Origin)，但我过去曾使用过 CORS。

是默认允许所有方法，还是我幸运地遇到了未定义的行为？

Answer 1

Access-Control-Allow-Methods header 指示在特定端点上允许哪些 HTTP 方法用于跨源请求。如果您允许所有 HTTP 方法，则可以将该值设置为类似 Access-Control-Allow-Methods: GET, PUT, POST, DELETE, HEAD 的内容。但是，如果您想将端点限制为仅包含几种方法，则应仅包含这些方法。

至于为什么您之前没有看到这个，这个 header 仅用于 CORS 预检请求。也许您的应用程序没有使用 CORS 预检，然后进行了一些更改以触发预检。您的应用程序是否使用 GET/POST 以外的任何 HTTP 方法或任何自定义 HTTP header ？

您可以在此处了解有关 CORS 预检请求的更多信息:http://www.html5rocks.com/en/tutorials/cors/