我是出现幻觉了吗 我记得 allow-origin/allow-headers 不是被禁止用 * 了吗

[dzdh]

记得之前项目需要跨域 php 程序里写 header

access-control-allow-origin: *

chrome console 会报错，大概说 必须明确写明允许哪个 origin （ http://origin-domain) 星号的写法即将被抛弃啥的

刚才在阿里云的 cdn 里试了试 直接在后台配置 http response header 里设置 allow-origin:*, allow-headers:* 居然可以正常在 chrome 里使用，跨域都没问题，也没发起 options 请求 这是什么神奇原理？

chrome 版本：83.0.4103.116

[xiaowei0823]

用 Firefox 试试

[dzdh]

@xiaowei0823

https://s1.ax1x.com/2020/06/30/NImh79.png

[dzdh]

@xiaowei0823 没报错。。。network 栏正常 response 内容输出正常 $.ajax 也正常

[mxT52CRuqR6o5]

@dzdh 简单请求，允许*，复杂请求不行，就是那些会触发 options 的就不行

[dzdh]

@mxT52CRuqR6o5

https://i.loli.net/2020/06/30/aXKISxj1LGp8Jgu.png

并没有……

chrome 同样……就不发图了

[Vegetable]

是的，你记错了
是这里
https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS#Requests_with_credentials
某些特殊情况不能是通配符

[Vegetable]

附带身份凭证的请求与通配符
对于附带身份凭证的请求，服务器不得设置 Access-Control-Allow-Origin 的值为“*”。

这是因为请求的首部中携带了 Cookie 信息，如果 Access-Control-Allow-Origin 的值为“*”，请求将会失败。而将 Access-Control-Allow-Origin 的值设置为 http://foo.example，则请求将成功执行。

[yhxx]

只有 withCredentials 的时候才不能是*吧

[ihipop]

那只是阿里云的配置，不等于实际的响应，不信你 F12 看下真正请求的响应。

[fe619742721]

Safari 有这个限制

[dzdh]

@ihipop 看上面截图

[dzdh]

@fe619742721 实测并没有

[dzdh]

@Vegetable
确实是, credentials:'include' 就报错了

[fe619742721]

@dzdh 额，应该是 iOS12 或者 11 的手机 Safari 上有这个限制，之前定位过这个问题