cors - 如何处理无效的 CORS 预检请求？

Question

假设一个 CORS 预检请求进来了，但它为一个或多个 Access-Control-Request-* 指定了一个不受支持的值。标题。服务器应该如何将其传达回浏览器？

一些例子:

浏览器发送带有 Access-Control-Request-Method: PUT 的预检请求，但服务器不允许对指定资源的 PUT 请求。

浏览器发送带有 Access-Control-Request-Headers: X-PINGOTHER 的预检请求，但服务器不允许/理解该 header 。

我能找到的唯一线索是在 W3C documentation 中。 ，这表明如果预检响应有问题，服务器应该“终止此请求”，但我不确定实际情况如何(服务器是否真的应该终止连接而不发回响应？ ？)。

或者，服务器根本不需要理会验证，因为浏览器只需检查 Access-Control-Allow-* 就会知道它做错了什么。响应头？

Answer 1

Tomcat's CORS Filter当收到无效的 CORS 预检请求时返回 403 响应:

If request is invalid, or is not permitted, then request is rejected with HTTP status code 403 (Forbidden). A flowchart that demonstrates request processing by this filter is available.

当然，文档没有解释 为什么它做到了这一点，但至少它是一个起点。