Access-Control-Allow-Origin语法

Question

我希望允许来自from.example.com的所有子域的跨源资源共享.因此,我将下面给出的跨源资源共享标头添加到subdomain1.to.example.com中的页面.

<?php header('Access-Control-Allow-Origin: *.from.example.com');

我尝试使用ajax 访问subdomain1.from.example.com页面.我没有得到回复.所以我刚刚更改了上面的标题,如下所示.

<?php header('Access-Control-Allow-Origin: http://subdomain1.from.example.com');

它仅适用于subdomain1.from.example.com.

第一个标题有什么问题？

Answer 1

Access-Control-Allow-Origin标题中不允许使用通配符.它必须完全匹配.您可以通过将值设置为允许所有域*,或者Origin如果请求标头的值与您允许的域匹配,则有条件地回显请求标头的值.

请注意,Origin规范允许多个原点以空格分隔.但是我不确定这是否适用于Access-Control-Allow-Origin标题.这可能值得一试.