显然，我完全误解了它的语义。我想到了这样的事情：
客户端从下载JavaScript代码MyCode.jshttp://siteA-原产地。MyCode.js的响应标头包含Access Control Allow Origin：http://siteB，我认为这意味着允许MyCode.js对站点B进行跨源引用。客户端触发MyCode.js的一些功能，进而向http://siteB，这应该可以，尽管是跨源请求。
嗯，我错了。它根本不是这样工作的。所以，我已经阅读了跨源资源共享，并尝试阅读w3c推荐中的跨源资源分享。
有一点是肯定的——我仍然不明白我应该如何使用这个标题。
我完全控制站点A和站点B。如何使从站点A下载的JavaScript代码使用此标头访问站点B上的资源？
备注：我不想使用JSONP。
当前回答
对于跨源共享，请设置标题：“Access Control Allow origin”：“*”；
Php:header（“访问控制-允许原始”：“*”）；
节点：app.use（'Access-Control-Allow-Origin'：'*'）；
这将允许共享不同域的内容。
其他回答
访问控制允许源是CORS（跨源资源共享）标头。
当站点A尝试从站点B获取内容时，站点B可以发送一个访问控制允许源站响应标头，告诉浏览器此页面的内容可由特定源站访问。（源站是一个域，加上一个方案和端口号。）默认情况下，站点B的页面不可由任何其他源站访问；使用Access Control Allow Origin（访问控制允许来源）标头为特定请求来源的跨来源访问打开了一扇门。
对于站点B希望站点A访问的每个资源/页面，站点B应为其页面提供响应标题：
Access-Control-Allow-Origin: http://siteA.com
现代浏览器不会完全阻止跨域请求。如果站点A从站点B请求页面，浏览器将在网络级别实际获取请求的页面，并检查响应标头是否将站点A列为允许的请求者域。如果站点B未指示站点A被允许访问此页面，浏览器将触发XMLHttpRequest的错误事件，并拒绝向请求的JavaScript代码提供响应数据。
非简单请求
在网络层面发生的事情可能比上面解释的稍微复杂一些。如果请求是“非简单”请求，则浏览器首先发送一个无数据的“预检”OPTIONS请求，以验证服务器是否接受该请求。在以下情况之一（或两者）时，请求是非简单的：
使用GET或POST以外的HTTP动词（例如PUT、DELETE）使用非简单请求头；唯一简单的请求头是：接受接受语言内容语言内容类型（仅当其值为application/x-wwww-form-urlencoded、multipart/form-data或text/plain时才简单）
如果服务器使用与非简单谓词和/或非简单标头匹配的适当响应标头（非简单标头的访问控制允许标头，非简单谓词的访问控制方法）响应OPTIONS预检，则浏览器发送实际请求。
假设站点A想要发送一个对/somePage的PUT请求，其中一个非简单的Content-Type值为application/json，浏览器将首先发送一个预检请求：
OPTIONS /somePage HTTP/1.1
Origin: http://siteA.com
Access-Control-Request-Method: PUT
Access-Control-Request-Headers: Content-Type
注意，访问控制请求方法和访问控制请求头由浏览器自动添加；您不需要添加它们。此OPTIONS预检获得成功的响应标头：
Access-Control-Allow-Origin: http://siteA.com
Access-Control-Allow-Methods: GET, POST, PUT
Access-Control-Allow-Headers: Content-Type
在发送实际请求时（飞行前完成后），行为与处理简单请求的方式相同。换言之，预飞成功的非简单请求被视为简单请求（即，服务器仍然必须再次发送访问控制允许源以获得实际响应）。
浏览器发送实际请求：
PUT /somePage HTTP/1.1
Origin: http://siteA.com
Content-Type: application/json
{ "myRequestContent": "JSON is so great" }
服务器会发回一个“访问控制允许源”，就像对一个简单的请求一样：
Access-Control-Allow-Origin: http://siteA.com
有关非简单请求的更多信息，请参阅了解CORS上的XMLHttpRequest。
根据我自己的经验，很难找到一个简单的解释，为什么CORS甚至是一个问题。
一旦你明白了为什么会出现，标题和讨论就会变得更加清晰。我会在几行字里尝试一下。
都是关于饼干的。Cookie按其域存储在客户端上。
一个例子：在你的电脑上，有一个你的bank.com的cookie。也许你的会话就在那里。
要点：当客户端向服务器发出请求时，它将发送存储在该请求的域下的cookie。
您已在浏览器上登录到yourbank.com。您请求查看您的所有帐户，并为yourbank.com发送cookie。yourbank.com收到一堆cookie，并发回其响应（您的帐户）。
如果另一个客户机向服务器发出跨源请求，则会像以前一样发送这些cookie。如罗。
你浏览到malicious.com。malicious向不同的银行发出一系列请求，包括yourbank.com。
由于cookie按预期进行了验证，服务器将授权响应。
这些饼干被收集起来并一起发送——现在，malious.com收到了您银行的回复。
诶呀
现在，一些问题和答案变得显而易见：
“我们为什么不阻止浏览器这样做？”是的。这是CORS。“我们怎么解决？”让服务器告诉请求CORS正常。
如果您只想测试浏览器阻止您请求的跨域应用程序，那么您可以在不安全模式下打开浏览器并测试应用程序，而不更改代码，也不使代码不安全。
在macOS中，您可以从终端行执行此操作：
open -a Google\ Chrome --args --disable-web-security --user-data-dir
我使用Express.js 4、Node.js 7.4和Angular，但遇到了同样的问题。这帮助了我：
a） 服务器端：在app.js文件中，我向所有响应添加头，比如：
app.use(function(req, res, next) {
res.header('Access-Control-Allow-Origin', req.headers.origin);
res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept");
next();
});
这必须在所有路线之前。
我看到很多人添加了这个标题：
res.header("Access-Control-Allow-Headers","*");
res.header('Access-Control-Allow-Credentials', true);
res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE');
但我不需要，
b） 客户端：通过Ajax发送时，需要添加“withCredentials：true”，如：
$http({
method: 'POST',
url: 'url',
withCredentials: true,
data : {}
}).then(function(response){
// Code
}, function (response) {
// Code
});
使用React和Axios，将代理链接连接到URL，并添加标头，如下所示：
https://cors-anywhere.herokuapp.com/+您的API URL
只需添加代理链接即可，但它也可能再次引发“无访问”错误。因此，最好添加一个标题，如下所示。
axios.get(`https://cors-anywhere.herokuapp.com/[YOUR_API_URL]`,{headers: {'Access-Control-Allow-Origin': '*'}})
.then(response => console.log(response:data);
}
警告：不得用于生产
这只是权宜之计。如果你在纠结为什么你不能得到回应，你可以使用这个。但这同样不是生产的最佳答案。
