CORS-飞行前响应标题示例，其中'；原产地'；不允许

我正在测试

CORS

支持，该支持最近添加到我公司的一个内部产品（web服务网关）上。积极的情况下工作良好，我能够看到以下标题的正确值，如图所示（一些标题的值被故意屏蔽）：

但我的问题是关于不允许域时的预期响应：

• 以上标题的值应该是多少

• 响应代码是否应始终为200

• 浏览器使用什么算法来确定飞行前响应是否失败并且不应让原始调用通过，浏览器之间是否一致

---

如果您的CORS策略不允许请求的权限，则表明这一点的方法是省略值或响应标头。当然，如果您的服务器对请求的URL的CORS（或选项）一无所知，那么您也可以返回404或405状态代码，告知浏览器不允许跨源调用。

如果您的CORS策略不允许请求的权限，那么表明这一点的方法是忽略该值或响应标题。当然，如果您的服务器对请求的URL的CORS（或选项）一无所知，那么您也可以返回404或405状态代码，告诉浏览器不允许跨源调用。

这很简单：如果响应不确认源、方法和非简单头，或者如果响应状态不是200，预飞行被视为失败，并且未发送基础请求。您可以阅读规范中的更多详细信息：。这非常简单：如果响应未确认来源、方法和非简单头，或者如果响应状态不是200，则预飞行将被视为失败，并且不会发送基础请求。您可以在规范中阅读更多详细信息：。规范中是否这样提到了这一点？我看到了很多关于积极响应应该如何的信息，但似乎没有在规范或其他可靠来源中找到“标准”或“推荐”错误响应。如果我错过了，请告诉我。谢谢..是的，如果你不允许某些东西，那么你就在HTTP服务器中“停止处理”，规范是这样读的。这意味着您省略了响应标题以表示您不允许某些内容。这与不知道CORS的服务器会表现出的行为是一样的。在规范中有这样提到吗？我看到了很多关于积极响应应该如何的信息，但似乎没有在规范或其他可靠来源中找到“标准”或“推荐”错误响应。如果我错过了，请告诉我。谢谢..是的，如果你不允许某些东西，那么你就在HTTP服务器中“停止处理”，规范是这样读的。这意味着您省略了响应标题以表示您不允许某些内容。这与不知道CORS的服务器会表现出的行为相同。

Access-Control-Allow-Headers:origin, authorization  
Access-Control-Allow-Methods:[POST, GET]  
Access-Control-Allow-Origin: ....  
Content-Length:0  
Date:Wed, 25 Sep 2013 18:49:31 GMT  
Server: ....