Firefox报CORS Missing Allow Header错误，服务器响应缺少什么头？

你的服务器OPTIONS响应缺失Access-Control-Allow-Headers配置项。

你发起的预检请求携带了Access-Control-Request-Headers: authorization字段，代表实际GET请求会包含自定义的Authorization请求头。按照CORS规则，服务器必须在预检响应中通过Access-Control-Allow-Headers字段显式声明允许该请求头，否则浏览器就会抛出CORS Missing Allow Header错误。

需要注意的是，由于你开启了Access-Control-Allow-Credentials: true，所有CORS相关的允许类响应头都不能使用*通配符，必须明确列出对应值：

• 首先在现有响应头基础上新增允许请求头的配置：

Access-Control-Allow-Headers: authorization

如果实际请求还会携带其他自定义头（比如常见的Content-Type），可以用逗号分隔追加到该字段值中。

• 同步建议补充Access-Control-Allow-Methods配置，明确允许GET请求：

Access-Control-Allow-Methods: GET

如果后续需要支持其他请求方法，同样可以逗号分隔追加到该字段值中。

内容的提问来源于stack exchange，提问作者ulrich