带Cookie的CORS请求是否需同时配置两类Access-Control响应头？

• 核心结论：只需要配置credentials: true（对应响应头Access-Control-Allow-Credentials: true），不需要额外设置allowedHeaders: ["Cookie"]

• 原因拆解：

  1. Cookie作为凭证的特殊性：浏览器会自动为符合规则的跨域请求携带Cookie，此时Cookie头不属于"自定义请求头"范畴，预检请求（OPTIONS）不会包含这个头，所以不需要通过Access-Control-Allow-Headers来声明允许。
  2. credentials: true的核心作用：这个配置是明确告知浏览器，服务器允许携带凭证（包括Cookie、HTTP认证信息、TLS客户端证书等）的跨域请求，同时要求origin必须是明确指定的域名（不能用*，这也是你示例里配置origin: "http://example.com"的原因）。
  3. 仅特殊场景需要allowedHeaders: ["Cookie"]：只有当你手动在请求代码里添加Cookie头（而非浏览器自动携带）时，预检请求会带上Access-Control-Request-Headers: Cookie，这时候才需要服务器配置对应的allowedHeaders。但正常业务场景下不需要这么操作。

内容的提问来源于stack exchange，提问作者NewbieToCoding