跨域 CORS 的新手

Question

我是这个东西的新手，所以在查找了一堆与 CORS 相关的网站后，我想问一些问题。

首先，假设我有http://domain1.com 有一个对http://domain2.com 的ajax 调用，我查看http://enable-cors.org/server.html 它说我必须添加

Access-Control-Allow-Origin: *

这个响应到我的页面标题或将此设置添加到我的应用程序根目录的 web.config，但我很困惑，我应该将响应标题添加到 domain1 或 domain2 应用程序吗？我的猜测是添加到 domain2，但我无法确定，因为我没有测试它所需的东西。

此外，如果 domain2.com 在 https 中，意味着我从 http 调用到 https，这会起作用吗？

IE 呢？

Answer 1

您应该将其添加到http://domain2.com，因为Access-Control-Allow-Origin 是http://domain1.com 从http://domain2.com 获取信息的权限。 请注意，（*）符号表示域允许所有人访问，因此您需要小心。更好的选择是：

Access-Control-Allow-Origin: http://domain1.com

它适用于 IE 和 https：

Access-Control-Allow-Origin: http://domain1.com, https://domain1.com

查看更多信息here。