在前端开发中，经常会遇到需要限制网站资源的请求源（origin）的情况。这种限制被称为"访问控制-Allow-Origin"，简称CORS（Cross-Origin Resource Sharing）。CORS是一种浏览器安全机制，它可以让你控制哪些源可以访问你的资源。
什么是CORS？
CORS是一种浏览器安全机制，用于控制跨源HTTP请求。如果一个网站想要向另一个域名的服务器发送请求，就必须经过CORS的限制。
具体来说，当浏览器发现当前网页和被请求的资源不属于同一个源时，就会向请求头中添加一个“Origin”字段，并通知服务器。服务器可以根据该字段来判断是否允许该请求，如果允许，服务器会在响应头中添加一个“Access-Control-Allow-Origin”字段，告诉浏览器可以访问该资源。
允许特定源访问
如果你想允许特定的源（例如www.example.com）访问你的资源，可以在响应头中添加如下字段：
Access-Control-Allow-Origin: http://www.example.com
这样，只有www.example.com可以访问该资源，其他源则会被拒绝。
允许任意源访问
如果你想允许任意源访问你的资源，可以在响应头中添加如下字段：
Access-Control-Allow-Origin: *
这样，任何源都可以访问该资源。但是需要注意的是，这样做可能会导致安全问题，因为任何网站都可以跨域请求你的资源。所以，建议只在开发环境中使用该方式。
不允许任何源访问
如果你不想允许任何源访问你的资源，可以在响应头中不加入“Access-Control-Allow-Origin”字段。这样，任何跨域请求都会被拒绝。
示例代码
下面是一个示例代码，演示了如何在Node.js中使用CORS限制请求源：
-- -------------------- ---- ------- ----- ------- - ------------------- ----- ---- - ---------------- ----- --- - ---------- -- ------- ---------------- -- ------- -------------- ------- ------------------------ ---- -------------------- ----- ---- -- - -- ---- ---
以上代码使用了Express和CORS模块，可以根据需要选择允许所有源或特定源访问。
总结
CORS是一种重要的浏览器安全机制，用于控制跨源HTTP请求。通过设置“Access-Control-Allow-Origin”字段，可以限制哪些源可以访问你的资源。在实际开发中，可以根据需要选择允许所有源、特定源或不允许任何源访问。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/8554