http headers

cors-Request

Origin
    - origin 参数的值为源站 URI。它不包含任何路径信息，只是服务器名称。
    - origin: http://example.com
Access-Control-Request-Method
    - 预检请求时,将实际请求所使用的 HTTP 方法告诉服务器。
    - Access-Control-Request-Method: POST
Access-Control-Request-Headers
    - 预检请求时,将实际请求所携带的首部字段告诉服务器。

cors-Response

Access-Control-Allow-Origin
    - 允许访问该资源的外域 URI
    - Access-Control-Allow-Origin: *
Access-Control-Expose-Headers
    - 让服务器把允许浏览器访问的头放入白名单
    - Access-Control-Expose-Headers: X-My-Custom-Header, X-Another-Custom-Header
Access-Control-Max-Age
    - 指定了预检请求请求的结果能够被缓存多久(秒)
    - Access-Control-Max-Age: 3600
Access-Control-Allow-Credentials
    - 指定了当浏览器的credentials设置为true时是否允许浏览器读取response的内容。当用在对preflight预检测请求的响应中时，它指定了实际的请求是否可以使用credentials。请注意：简单 GET 请求不会被预检；如果对此类请求的响应中不包含该字段，这个响应将被忽略掉，并且浏览器也不会将相应内容返回给网页。
    - Access-Control-Allow-Credentials: true
Access-Control-Allow-Methods
    - 用于预检请求的响应。其指明了实际请求所允许使用的 HTTP 方法。
    - Access-Control-Allow-Methods: GET,PUT,DELETE
Access-Control-Allow-Headers
    - 用于预检请求的响应。其指明了实际请求中允许携带的首部字段。
    - Access-Control-Allow-Headers: X-Custom-Header