Access-Control-Allow-Origin語法

Question

我希望允許來自from.example.com的所有子域的跨源資源共享。 因此，我將下面給出的跨源資源共享標頭添加到subdomain1.to.example.com中的頁面。

<?php header('Access-Control-Allow-Origin: *.from.example.com');

我嘗試使用ajax訪問subdomain1.from.example.com頁面。 我沒有得到回復。 所以我剛剛更改了上面的標題，如下所示。

<?php header('Access-Control-Allow-Origin: http://subdomain1.from.example.com');

它僅適用於subdomain1.from.example.com 。

第一個標題有什么問題？

Answer 1

Access-Control-Allow-Origin標頭中不允許使用通配符。 它必須完全匹配。 您可以通過將值設置為*來允許所有域，或者如果它與您允許的域之一匹配，則有條件地回顯Origin請求標頭的值。

請注意， Origin規范允許多個原點以空格分隔。 但是我不確定這是否適用於Access-Control-Allow-Origin標頭。 這可能值得一試。