cross-domain - 为什么跨域 HEAD 请求需要预检？

Question

我正在阅读 spec在 CORS 请求上，我发现了有关预检请求的信息:

These are requests to a non same origin URL with an HTTP request method other than GET that first need to be authorized using either a preflight result cache entry or a preflight request.

我曾认为预检请求的目的是在发出请求之前检查是否允许请求，以防它(非法)更改服务器状态。

但是 HEAD 和 OPTIONS 不会修改服务器状态。我一定误解了飞行前检查的原因。

对 HEAD 和 OPTIONS 而不是 GET 进行飞行前检查的目的(也就是原因、动机或基本原理)是什么？ GET 有什么特别之处？

Answer 1

预检的主要目的是确保服务器不会突然发送跨域基于浏览器的请求，这些请求在实现 CORS 规范之前可能永远不会收到。

在 CORS 规范之前，除了 GET 或 POST 之外，不可能发送任何基于浏览器的跨域请求。浏览器根本不允许您启动 XHR 实例，将方法设置为 PUT(例如)并将其发送到不同来源的端点。您也不能通过 XHR 发送 GET 或 POST 跨域请求，但您可以通过表单提交发送跨域 GET 或 POST 请求，或通过 <img> 发送跨域 GET 请求。或 <script>标签，例如(这使 JSONP 成为 CORS 之前的唯一选项)。一旦浏览器实现了 CORS 规范，情况就改变了。现在，只要服务器选择加入，就可以发送任何跨域 ajax 请求。

CORS 规范定义了“简单”方法(GET 和 POST)以及“简单”请求 header 。这些对应于您已经可以从浏览器 pre-CORS 规范发送的跨域请求类型。不能从浏览器 pre-CORS 规范发送非简单的跨域请求，例如带有 X header 的 PUT 或 POST/GET 请求(例如)。因此，对于这些类型的请求，预检的概念被写入规范以确保服务器不会在没有明确选择的情况下接收这些类型的非简单跨域基于浏览器的请求。换句话说，如果您不想要允许这些类型的请求，您根本不必更改服务器。预检将失败，浏览器将永远不会发送底层请求。

直接解决您的问题:HEAD 请求通常不会导致预检。根据 CORS 规范，HEAD 被认为是一种简单的请求方法。如您所知，HEAD 请求只是没有响应负载的 GET。这是 HEAD 和 GET 请求被视为相同的最可能原因，即使您无法从浏览器发送跨域 HEAD 请求 pre-CORS。如果您的 HEAD 包含非简单 header ，则它会被预检，就像 GET 一样。