【发布时间】：2019-07-13 05:52:46
【问题描述】：
“*”或服务器的 URI 是 Access-Control-Allow-Origin 标头的默认值吗？ 如果没有设置header，是否意味着每个源都可以访问资源？
【问题讨论】：
标签： header cors default-value same-origin-policy
【发布时间】：2019-07-13 05:52:46
【问题描述】：
没有默认值。
如果未设置，则未设置。如果已设置，则它必须具有显式值。
如果没有设置header，是否意味着每个origin都可以访问资源？
没有。这意味着同源策略正常执行。没有来源被授予权限。
服务器的 URI
没有理由将Access-Control-Allow-Origin 设置为服务器自己的URL。同源请求不需要 CORS 的许可。
【讨论】：
-
我从服务器端有问题的后端删除了 Access-Control-Allow-Origin 标头，但是当我从该后端请求资源时，标头为“Origin：test.test”（与邮递员），我得到 200 响应和资源。在这种情况下应该禁止跨域。对吗？
-
这是否是在 Netlify/ Heroku/ Github 页面上托管的应用程序/网站在从未配置的主机访问时不可见的原因，例如，当我将自己的域 CNAME 到 netlify 应用程序时？ （你会得到一个通用的：“找不到应用程序”类型的消息）
-
@ButterHub — 没有。