CORS 会被废除吗？

[p1gd0g]

这算是历史遗留问题吧？

哈哈，V 站氛围依然这么“硬核”。

1. 我会不会配？

会。但这不是我发帖的原因。
如果配 cors 让你有优越感，我替你感到高兴。

2. 理由是啥？

我需要经常跨别人的域，每次加一遍代理费劲。

3. “搞不明白跨域，然后就想喷吗”

哪喷了请问？

4. 为什么我觉得 cors 是历史遗留问题？

很不幸，正是 grok 这么说我才来 v 站发帖确认下。
这是我的问题，我没有确认他给出的链接（刚才确认了都是幻觉，他甚至给出了 cors 废除的时间线 https://imgur.com/a/WXhnoKd ）。

[bestie]

理由是啥？

[Razio]

搞不明白跨域，然后就想喷吗

[shakaraka]

😅

[pingdog]

这是增强 web 安全的功能，变成历史遗留问题了？过多几年不就历史文件不具意义

[itechify]

黑人❓

[k9982874]

支持废除，https 也应该废除（ doge

[donaldturinglee]

2025 还没跨明白吗？

[momocraft]

这不是历史遗留问题，是安全措施

op 这样想“跨别人域”的人就是不能废除的原因

猜一猜，为什么那个 http header 要叫，Access-Control-**Allow**-Origin

[MossFox]

@grok is that true?

[evan1]

@grok is that true?

[sbmzhcn]

grok 这种 ai 你会跟着你的意思说，ai 幻觉问题 只有 chatgpt 好一点。但也会有。不要相信 ai 的回答。

[gullitintanni]

AI 说什么你就信什么？这种一眼不靠谱的，应该追问 AI 让它给出能够支持其结论的文档（比如 W3C draft ），而不是一上来就发帖求证。

我们公司训练的 RAG 还坚信 JavaScript 已经在 Web 标准中 deprecated 了，比你这个更离谱。

[newtype0092]

@gullitintanni 还是别追问了，分分钟给你编几个文档出来

[v1]

web 是另一半，cors 就是结婚证，你喜欢别人随便上你的另一半吗？没有配置 cors 的 web 叫伴侣，确实可以随便上，甚至换着上

[ryd994]

你看不看得懂 grok 的输出？把 LLM 当真理机用。预测，OK ？他预测的就是现实？ chrome 什么时候公开说过要废除 cors 限制的功能了？ W3C 和 Mozilla 什么时候说过要废除 CORS 了？

还嘴硬。你就是既不会配 cors ，也不懂 cors 的作用，还不会用 AI 。

[AV1]

你大概连自己想废除的东西是什么，都不知道吧😅。

从上下文来看，你想废除的东西应该叫同源策略（ Same-origin policy ），而不是跨域资源共享（ CORS ）。

同源策略是指在 Web 浏览器中，网页脚本访问另一个网页的数据，前提是这两个网页必须有相同的 URI 、主机名和端口号。
而 CORS 是指通过一种协商机制，使得脚本能访问被同源策略拦截的资源，即所谓的“跨域请求”。

你说“废除 CORS”，不就等于说要废除跨域能力了吗？要是 CORS 真的被废除，你还是得到处加代理呀😅。

从你把概念搞混来看，你可能是真的搞不明白跨域这些概念，把“CORS”当成“同源策略”的代名词了。

同源策略就像房子和房子之间的墙，如果没有同源策略，就像房子没有墙，没有自己的空间，没有边界。

配置 CORS 响应报头，对熟练的 web 开发者来说，是非常简单且低成本的工作。

如果同源策略成为你工作的麻烦，那说明：
你不够熟练，不了解跨域这些概念，不懂怎么配 CORS 。或者
你经常跨别人的域，但别人不配合、不提供 CORS 响应报头，说明这些是非授权调用，有盗用别人的网络资源的嫌疑。

[HTravel]

CORS 简单的像 1+2=3 一样。你想爬别人网站的话，自己写一个 HTTP 解析代码，有个毛线的 CORS 。CORS 不就是为了用户和网站提供商安全，特意在浏览器层面添加的限制嘛。

[Akay47]

首先你要搞清楚为什么会有 CORS, 它出现的背景是什么? 不要随便就扯历史遗留问题, 你都没搞清楚历史遗留问题的定义是什么, 建议先了解一些专业知识再来提问

[villivateur]

> 很不幸，正是 grok 这么说我才来 v 站发帖确认下。

你为什么这么听 AI 的话？技术问题难道不应该默认 AI 是在扯淡吗？

[Kevin2]

op 应该早发截图的。
谁说 v 站没戾气的？站出来

[nekoneko]

那废除 CORS 之后, 如何突破浏览器同源策略呢?

[dzdh]

> 2. 理由是啥？
> 我需要经常跨别人的域，每次加一遍代理费劲。

你就直接说你要“爬”。CORS 存在的目的就是防止你不设代理就访问。

[defunct9]

支持废除，就是自己公司的，一堆域名，每次都得配一大堆。烦躁的不行。

[D0n9]

如果 CORS 被废除，整个 Web 互联网都会乱成一锅粥。

[shenqi]

如果楼主是开发，有这个想法很正常。
如果楼主是安全相关，那就不会有这个想法。
所以下次遇到 iframe 问题，就会提出 iframe 相关 header 会被废除吗的想法。

[Immunize]

CORS 当然可以废除，但是需要另一个方案解决 CSRF 问题。不知道楼主或者 AI 有什么方案。

[Immunize]

应该是 CROS 整栋楼都被带歪了。
@Immunize #26

[p1gd0g]

@AV1 #16
感谢回复和指正，技术讨论本该这样理性的。
我确实是最近才开始做 web 端，不清楚这些背景知识。所以我也说了我没有确认是我的问题。
就像你说的，我在做一些非授权调用。这其实也是我最初的疑惑，为什么 app 可以无视这个规则，web 就不行。在我看来两者差异正在逐渐缩小。当然我现在大概知道原因了。

[deplives]

这个标题看的我一愣一愣的

[KinBob]

将来如果不再允许跨域共享， 一个页面下连广告都得用同一个域名的，听起来还挺好的，为啥不能这样呢？

[mxT52CRuqR6o5]

你是说我百度的网站可以随意调用支付宝的转账接口吗

[pengtao2001]

@mxT52CRuqR6o5 哈哈哈