Access-Control-Allow-Headers: foo-* 是否允许请求标头 foo-1 和 foo-2？

Question

F.e.，

Access-Control-Allow-Headers: x-company-*

而不是列出：

x-company-1

x-company-2

.... 包含任何未来可能的

x-company-*

标头？

Answer 1

不。 CORS 响应标头中允许的唯一通配符，

• Access-Control-Allow-Origin

  ,

• Access-Control-Allow-Methods

  ,

• Access-Control-Allow-Headers

  ,

• Access-Control-Expose-Headers

  ,

本身就是

*

（且仅用于匿名访问）；请参阅 Fetch 标准的相关部分。

您可以在

x-company-*

中列出

Access-Control-Allow-Headers

，但这样做只会允许名称不区分大小写为

x-company-*

的请求标头。

x-company-1

和

x-company-2

都不允许。