cors access-control-allow-origin *凭证为真

Question

我在Spring Boot中设置了全局CORS，并编写了以下代码，并发现如果access-control-allow-origin为*，则凭证不能为真。为什么凭证不能成立，为什么CORS不工作呢？

@Override
    public void addCorsMappings(CorsRegistry registry){
        registry.addMapping("/api/bbs/**")
                .allowedOrigins("*")
                .allowedMethods("*")
                .allowCredentials(true);
    }

Answer 1

因为这是CORS的设计方式。

...然而

您可以轻松地简单地“反映”＆＃39; Access-Control-Allow-Origin响应标头中的Origin Request标头的值。

所以你有效地发回了这个响应头：

Access-Control-Allow-Origin: <value-of-Origin-request-header>

这同样是全球性的＆＃39;指定Access-Control-Allow-Origin: *