在预检响应中,Access-Control-Allow-Headers不允许请求头字段X-CSRFToken

Question

我正在尝试对GroupMe API进行API调用以获取JSON响应,但一直收到以下错误:

XMLHttpRequest cannot load ...(call url)... 
Request header field X-CSRFToken is not allowed by Access-Control-Allow-Headers in preflight response.

我的Javascript看起来像这样:

var xmlhttp = new XMLHttpRequest();
var url = (call url)

xmlhttp.onreadystatechange = function() {
    if (xmlhttp.readyState == 4 && xmlhttp.status == 200) {

    xmlhttp.open("GET", url, true);
    xmlhttp.setRequestHeader("Access-Control-Allow-Headers", "*");
    xmlhttp.setRequestHeader('Access-Control-Allow-Origin', '*');

    $.getJSON(url, function(data){
        var array = data.response.messages.reverse();
        for(i = 0; i<array.length; i++){
            $('.messages').append("<div class='message'>"+array[i].name+":<br>"+array[i].text+"</div>");
        }
    });
    }
}

xmlhttp.open("GET", url, true);
xmlhttp.send();

我真的不明白请求标头是如何工作的所以我猜我没有正确设置标头.有人能指出我如何设置标题来解决这个问题吗？

Answer 1

    如果您正在拨打第三方服务器,对于预检请求,response header应该包含Access-Control-Allow-Headers: X-CSRF-Token以消除您获得的错误.但我们无法控制它.

    这是完全在我们的控制下,如果呼叫到我们的服务器,在那里你可以添加由 Access-Control-Allow-Headers: X-CSRF-Token在响应您的预检要求这类型OPTIONS的情况下,如果你发送ajax jQuery request带crossDomain parameter set to true.