</code></pre><p>在这种情况下，我们明确地允许一个单一的起源；通配符通常用于不敏感的页面。</p><p>一旦我们这样做了，一个常见的错误就是发送一个请求，比如
<code>curl bank.example.com -H "Origin: https://attack.example.com"</code>，
然后期望这个请求被拒绝。
但是，curl 和许多其他客户端不会看到被拒绝的请求，因为 CORS 是一个浏览器约束。
CORS 配置只是在响应中添加 <code>Access-Control-*</code> 头；�