javascript - 如果有人将其域名指向我的服务器， "Access-Control-Allow-Origin"是否可以帮助我？

Question

也许我误解了如何在我的服务器中完全实现 CORS。

鉴于此通过 Chrome 完成的请求的屏幕截图。

我们可以看到，我们正在访问网站 shakh.photography，请求 URL 是针对 /api/get-videos/ 的 POST ajax 请求，但响应包含一个 Access-Control-Allow-Origin header ，其中提到了一个完全不同的域。

即使网络服务器使用 Access-Control-Allow-Origin header 进行响应，浏览器也会忽略它。一切仍然有效。

我认为仅设置 Access-Control-Allow-Origin 就足以仅允许来自指定来源的请求。

我错过了什么？

在修复之前，可以通过访问 shakh.photography 来测试这种情况。

Answer 1

该请求将发送至同源，即 shakh.photography/api/.. 因此没有 OPTIONS正在发送预检。

如果请求是从第三方网页(例如third.party)发送的，那么浏览器将发送OPTIONS服务器将检查其原始策略并返回 error仅gamezelle.com截至目前是允许的。如果是从gamezelle.com发送的响应将是 OK然后浏览器将发送后续请求。