我有一个设置涉及前端服务器（Node.js，域：localhost：3000）<--->后端（Django，Ajax，域：localhost：8000）浏览器<-- webapp <-- Node.js（服务应用程序）浏览器（w...
我有一个涉及的设置
前端服务器（Node.js，域：localhost：3000）<---> 后端（Django，Ajax，域：localhost：8000）
浏览器 <-- webapp <-- Node.js (提供应用程序)
浏览器（webapp）——> Ajax——> Django（提供 ajax POST 请求）
现在，我的问题在于 CORS 设置，Web 应用程序使用它来向后端服务器进行 Ajax 调用。在 Chrome 中，我不断收到
当凭证标志为真时，不能在 Access-Control-Allow-Origin 中使用通配符。
在 Firefox 上也不工作。
我的 Node.js 设置是：
var allowCrossDomain = function(req, res, next) {
res.header('Access-Control-Allow-Origin', 'http://localhost:8000/');
res.header('Access-Control-Allow-Credentials', true);
res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE');
res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept");
next();
};
Web 应用程序发出如下请求：
$.ajax({
type: "POST",
url: 'http://localhost:8000/blah',
data: {},
xhrFields: {
withCredentials: true
},
crossDomain: true,
dataType: 'json',
success: successHandler
});
因此，Web 应用程序发送的请求标头如下所示：
Access-Control-Allow-Credentials: true
Access-Control-Allow-Headers: "Origin, X-Requested-With, Content-Type, Accept"
Access-Control-Allow-Methods: 'GET,PUT,POST,DELETE'
Content-Type: application/json
Accept: */*
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8
Cookie: csrftoken=***; sessionid="***"
以下是响应头：
Access-Control-Allow-Headers: Content-Type,*
Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: *
Access-Control-Allow-Methods: POST,GET,OPTIONS,PUT,DELETE
Content-Type: application/json
我哪里做错了？！
编辑 1：我一直在使用 chrome --disable-web-security ，但现在希望它能够真正发挥作用。
编辑2：答案：
因此，我的解决方案 django-cors-headers 配置如下：
CORS_ORIGIN_ALLOW_ALL = False
CORS_ALLOW_CREDENTIALS = True
CORS_ORIGIN_WHITELIST = (
'http://localhost:3000' # Here was the problem indeed and it has to be http://localhost:3000, not http://localhost:3000/
)
扩展@Renaud 的想法，cors 现在提供了一种非常简单的方法来做到这一点：
此处 找到的 cors 官方文档 :
\' origin：配置 Access-Control-Allow-Origin CORS 标头。可能的值：布尔值 - 将 origin 设置为 true 以反映请求来源，如 req.header('Origin') 所定义，或将其设置为 false 以禁用 CORS。 \'
因此我们只需执行以下操作：
const app = express();
const corsConfig = {
credentials: true,
origin: true,
};
app.use(cors(corsConfig));
最后，我认为值得一提的是，在某些用例中我们希望允许任何人的跨源请求；例如，在构建公共 REST API 时。