為什么沒有更多的oEmbed提供商在其端點上啟用跨域資源共享？

Question

似乎大多數（如果不是全部）oEmbed提供者端點沒有啟用CORS。 這意味着我必須使用JSONP（對於那些支持它的人）或通過服務器代理只是為了使用oEmbed。

有一個公司政策反對使用來自第三方提供商的JSONP，但我仍然希望以純粹的客戶端方式利用oEmbed（對於我們信任的某些提供商）。 我理解oEmbed消費者的安全隱患以及為什么他們可能不希望將第三方標記直接放入他們的頁面，但為什么提供商會限制這一點呢？ 如果我構建了一個服務器代理並且沒有過濾結果，我可能很容易出現XSS漏洞。

Answer 1

只是猜測：

它可能與預檢請求有關。 CORS規范聲明客戶端應該在許多情況下發送額外的OPTION請求（基本上，對於非常基本的GET或POST之外的任何事情）。 這意味着，在服務器端，只需提供CORS就可以將傳入的請求加倍，也許額外的負載是不可接受的。