浏览器不允许用户手动设置敏感的Http header包括但不限于referer
为了安全，跨域XHR对象有一些限制：
- 不能使用 setRequestHeader() 设置自定义头部
- 不能发送和接收 cookie
- 调用 getAllResponseHeaders() 方法总会返回空字符串
参考：
1.《JavaScript高级程序设计（第3版）》 - 21.4.2 其他浏览器对 CORS 的实现
作者：April
链接：https://www.zhihu.com/question/36723766/answer/193913511
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。
这种问题还是要看标准的XMLHttpRequet相关接口的定义，设置request header头的时候，有些name是被禁止的：
文档已经列出了这些被禁止的name：
所以，碰到这种问题最快捷的方法是直接看官方文档。
from：https://www.zhihu.com/question/36723766
相关文章：
-
2022-12-23
-
2021-10-03
-
2022-12-23
-
2022-12-23
-
2021-09-17
-
2022-02-18
-
2022-12-23
-
2022-03-12
