哪些服务器必须实现CORS机制？

简单来说：所有需要接收浏览器发起的跨域HTTP请求的服务器，都得实现CORS支持。

结合superagent文档里的说明给你拆解下原因：

• 浏览器出于安全考量，默认会阻止跨域请求（也就是请求发起页面的域名和目标服务器域名不一致的情况），只有当服务器主动通过CORS响应头（比如Access-Control-Allow-Origin）开启跨域支持时，浏览器才会允许这个请求成功。
• 除此之外，浏览器还会先发送额外的OPTIONS预检请求，用来检查服务器允许的HTTP头、请求方法等跨域规则，只有预检通过了，才会发送真正的业务请求。

另外补充个细节：如果你的前端需要通过请求发送Cookie（比如用superagent的.withCredentials()方法），那服务器的CORS配置还要满足两个条件：

• Access-Control-Allow-Origin不能设为通配符*，必须指定具体的源域名；
• 同时要设置Access-Control-Allow-Credentials: true，否则Cookie还是无法正常传递。

内容的提问来源于stack exchange，提问作者sdgfsdh