cors - 为什么需要访问控制公开 header ？

Question

我正在寻找具体的安全原因来解释为什么添加此内容。当我实现 cors 时，这真是一个令人惊叹的时刻，可以看到所有返回的 header ，但我无法通过 javascript 访问它们。

Answer 1

CORS 的实现方式不会打破 CORS 出现之前的同源世界中的假设。

在 CORS 之前的世界中，客户端可以触发跨源请求(例如，通过脚本标记)，但无法读取响应 header 。

为了确保 CORS 不会破坏这一假设，CORS 规范要求服务器为客户端提供读取这些 header 的显式权限(通过 Access-Control-Expose-Headers标题)。这样，未经授权的 CORS 请求的行为就像在 CORS 之前的世界中一样。