ajax - 使用Google Chrome的xmlHttpRequest时拒绝设置不安全 header "Origin"

Question

收到此错误消息:拒绝设置不安全 header “Origin”

使用此代码:

   function getResponse() {
            document.getElementById("_receivedMsgLabel").innerHTML += "getResponse() called.<br/>";
            if (receiveReq.readyState == 4 || receiveReq.readyState == 0) {
                receiveReq.open("GET", "http://L45723:1802", true, "server", "server123");  //must use L45723:1802 at work.
                receiveReq.onreadystatechange = handleReceiveMessage;
                receiveReq.setRequestHeader("Origin", "http://localhost/");
                receiveReq.setRequestHeader("Access-Control-Request-Origin", "http://localhost");
                receiveReq.timeout = 0;
                var currentDate = new Date();
                var sendMessage = JSON.stringify({
                    SendTimestamp: currentDate,
                    Message: "Message 1",
                    Browser: navigator.appName
                });
                receiveReq.send(sendMessage);

            }
        }

我做错了什么？我在 header 中缺少什么才能使此 CORS 请求正常工作？

我尝试删除 receiveReq.setRequestHeader("Origin", ...) 调用，但 Google Chrome 浏览器在我的 receiveReq.open() 调用上抛出访问错误...

为什么？

Answer 1

这只是一个猜测，因为我使用 jquery 进行 ajax 请求，包括 CORS。

我认为浏览器应该设置标题，而不是你。如果您能够设置 header ，那就违背了安全功能的目的。

在不设置这些 header 的情况下尝试该请求，看看浏览器是否为您设置了它们。