显然，我完全误解了它的语义。我想到了这样的事情：
客户端从下载JavaScript代码MyCode.jshttp://siteA-原产地。MyCode.js的响应标头包含Access Control Allow Origin：http://siteB，我认为这意味着允许MyCode.js对站点B进行跨源引用。客户端触发MyCode.js的一些功能，进而向http://siteB，这应该可以，尽管是跨源请求。
嗯，我错了。它根本不是这样工作的。所以，我已经阅读了跨源资源共享，并尝试阅读w3c推荐中的跨源资源分享。
有一点是肯定的——我仍然不明白我应该如何使用这个标题。
我完全控制站点A和站点B。如何使从站点A下载的JavaScript代码使用此标头访问站点B上的资源？
备注：我不想使用JSONP。
当前回答
我使用Express.js 4、Node.js 7.4和Angular，但遇到了同样的问题。这帮助了我：
a） 服务器端：在app.js文件中，我向所有响应添加头，比如：
app.use(function(req, res, next) {
res.header('Access-Control-Allow-Origin', req.headers.origin);
res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept");
next();
});
这必须在所有路线之前。
我看到很多人添加了这个标题：
res.header("Access-Control-Allow-Headers","*");
res.header('Access-Control-Allow-Credentials', true);
res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE');
但我不需要，
b） 客户端：通过Ajax发送时，需要添加“withCredentials：true”，如：
$http({
method: 'POST',
url: 'url',
withCredentials: true,
data : {}
}).then(function(response){
// Code
}, function (response) {
// Code
});
其他回答
跨源资源共享-CORS（A.K.A.跨域AJAX请求）是大多数web开发人员可能遇到的问题，根据同源策略，浏览器在安全沙盒中限制客户端JavaScript，通常JS无法直接与来自不同域的远程服务器通信。过去，开发人员创建了许多复杂的方法来实现跨域资源请求，最常用的方法是：
使用Flash/SSilverlight或服务器端作为“代理”进行通信使用遥控器。带填充的JSON（JSONP）。在iframe中嵌入远程服务器，并通过fragment或window.name进行通信，请参阅此处。
这些棘手的方法或多或少都有一些问题，例如，如果开发人员简单地“评估”JSONP，JSONP可能会导致安全漏洞，而上面的第3条，虽然它有效，但两个域之间应该建立严格的契约，它既不灵活也不优雅IMHO：）
W3C引入了跨源资源共享（CORS）作为标准解决方案，以提供一种安全、灵活和推荐的标准方式来解决这个问题。
机制
从高层次上讲，我们可以简单地将CORS视为来自域a的客户端AJAX调用与域B上托管的页面之间的契约，典型的跨源请求/响应将是：
DomainA AJAX请求标头
Host DomainB.com
User-Agent Mozilla/5.0 (Windows NT 6.1; WOW64; rv:2.0) Gecko/20100101 Firefox/4.0
Accept text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8,application/json
Accept-Language en-us;
Accept-Encoding gzip, deflate
Keep-Alive 115
Origin http://DomainA.com
DomainB响应标头
Cache-Control private
Content-Type application/json; charset=utf-8
Access-Control-Allow-Origin DomainA.com
Content-Length 87
Proxy-Connection Keep-Alive
Connection Keep-Alive
上面我标记的蓝色部分是核心事实，“Origin”请求头“表示跨源请求或飞行前请求的来源”，“Access Control Allow Origin”响应头表示此页面允许来自DomainA的远程请求（如果值为*，则表示允许来自任何域的远程请求）。
如上所述，W3建议浏览器在提交实际的跨源HTTP请求之前实现一个“预飞行请求”，简而言之，这是一个HTTP OPTIONS请求：
OPTIONS DomainB.com/foo.aspx HTTP/1.1
如果foo.aspx支持OPTIONS HTTP动词，它可能会返回如下响应：
HTTP/1.1 200 OK
Date: Wed, 01 Mar 2011 15:38:19 GMT
Access-Control-Allow-Origin: http://DomainA.com
Access-Control-Allow-Methods: POST, GET, OPTIONS, HEAD
Access-Control-Allow-Headers: X-Requested-With
Access-Control-Max-Age: 1728000
Connection: Keep-Alive
Content-Type: application/json
只有当响应包含“Access Control Allow Origin”且其值为“*”或包含提交CORS请求的域时，通过满足此强制条件，浏览器才会提交实际的跨域请求，并将结果缓存在“Preflight result cache”中。
三年前，我在博客中写到了CORS：AJAX跨源HTTP请求
注：仅用于测试的临时解决方案
对于那些无法控制“选项405方法不允许”的后端的人，这里有一个解决方案，用于“颜色”浏览器。
在命令行中执行：
“C:\Program Files（x86）\Google\Chrome\Application\Chrome.exe”--禁用web安全--用户数据dir=“path_to_file”
例子：
“C:\Program Files（x86）\Google\Chrome\Application\Chrome.exe”--禁用web安全--用户数据dir=“C:\Users\vital\AppData\Local\Google\Cherme\user data\Profile 2”
每当我开始思考CORS时，我对哪个站点托管标头的直觉是错误的，正如您在问题中所描述的那样。对我来说，思考同源政策的目的是有帮助的。
同源策略的目的是保护您免受siteA.com上的恶意JavaScript访问您选择仅与siteB.com共享的私人信息。如果没有同源策略，siteA.com作者编写的JavaScript可能会让您的浏览器使用您的siteB.com身份验证cookie向siteB.com发出请求。这样，siteA.com可能会窃取您与siteB.com共享的秘密信息。
有时您需要跨域工作，这就是CORS的作用所在。CORS放宽了siteB.com的同源策略，使用Access Control Allow origin标头列出其他受信任运行可与siteB.com交互的JavaScript的域（siteA.com）。
要了解哪个域应该为CORS标头提供服务，请考虑这一点。您访问malious.com，其中包含一些试图向mybank.com发出跨域请求的JavaScript。应该由mybank.com而不是malious.com来决定它是否设置CORS标头，以放宽同源策略，从而允许maliouss.com中的JavaScript与之交互。如果malious.com可以设置自己的CORS标头，允许自己的JavaScript访问mybank.com，这将完全取消同源策略。
我认为我直觉不好的原因是我在开发网站时的观点。这是我的网站，有我所有的JavaScript。因此，它没有做任何恶意的事情，应该由我来指定我的JavaScript可以与哪些其他站点交互。事实上，我应该思考：哪些其他网站的JavaScript正在尝试与我的网站交互，我应该使用CORS来允许它们？
我使用Express.js 4、Node.js 7.4和Angular，但遇到了同样的问题。这帮助了我：
a） 服务器端：在app.js文件中，我向所有响应添加头，比如：
app.use(function(req, res, next) {
res.header('Access-Control-Allow-Origin', req.headers.origin);
res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept");
next();
});
这必须在所有路线之前。
我看到很多人添加了这个标题：
res.header("Access-Control-Allow-Headers","*");
res.header('Access-Control-Allow-Credentials', true);
res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE');
但我不需要，
b） 客户端：通过Ajax发送时，需要添加“withCredentials：true”，如：
$http({
method: 'POST',
url: 'url',
withCredentials: true,
data : {}
}).then(function(response){
// Code
}, function (response) {
// Code
});
如果您只想测试浏览器阻止您请求的跨域应用程序，那么您可以在不安全模式下打开浏览器并测试应用程序，而不更改代码，也不使代码不安全。
在macOS中，您可以从终端行执行此操作：
open -a Google\ Chrome --args --disable-web-security --user-data-dir
