cors - 为什么需要 Access-Control-Expose-Headers？

Question

我正在寻找添加此内容的具体安全原因。当我实现 cors 并且可以看到所有返回的标题时，这是一个 WTH 时刻，但我无法通过 javascript 访问它们..

Answer 1

CORS 的实现方式不会破坏在 CORS 之前、仅同源世界中所做的假设。

在 CORS 之前的世界中，客户端可以触发跨域请求(例如，通过脚本标记)，但它无法读取响应 header 。

为了确保 CORS 不会破坏这一假设，CORS 规范要求服务器明确授予客户端读取这些 header 的权限(通过 Access-Control-Expose-Headers header )。这样，未经授权的 CORS 请求的行为就像在 CORS 之前的世界中一样。