用户浏览器发起跨域请求时CORS如何响应？配置指定允许源的场景下请求是否会被放行

请求会被正常接受 #

只要服务器A的CORS配置正确，这类请求会被正常受理，不会被跨域规则拦截。

核心原因：CORS校验的是页面所属源，而非请求发起设备的IP #

很多人会在这里搞混校验逻辑，CORS本身就是为浏览器环境设计的安全机制，校验逻辑如下：

• 当用户访问服务器B上的页面时，这个页面的*源（Origin）*就被标记为B的地址（包含协议、域名、端口三个部分）
• 这个页面内的JS向服务器A发起跨域请求时，浏览器会自动在请求头中添加Origin字段，值就是B的源地址
• 服务器A只需要校验这个Origin字段是否和Access-Control-Allow-Origin配置的值匹配即可，完全不关心请求是从哪个用户的浏览器/IP发出的
• 这个规则的设计初衷本来就是：你只需要信任前端站点B的代码，所有正常加载B站点代码的用户都可以正常调用你的后端接口，刚好匹配你的业务需求。

注意：配置时要把占位符[B]替换成B服务器的完整源值，比如B对外访问的地址是https://frontend.xxx.com，就需要配置为header('Access-Control-Allow-Origin: https://frontend.xxx.com')，协议、域名、端口任意一项不匹配都会导致校验失败。

内容的提问来源于stack exchange，提问作者Imran Ahmed