使用标头Access-Control-Request-Headers的值设置Access-Control-Allow-Headers是否安全？

Question

我在某些koa cors中间件中发现了一些用于设置Access-Control-Allow-Headers的代码，如下所示：

if (options.allowHeaders) {
    ctx.set('Access-Control-Allow-Headers', options.allowHeaders.join(','));
} else {
    ctx.set('Access-Control-Allow-Headers', ctx.get('Access-Control-Request-Headers'));
}

我有一个问题，如果可以安全地将Access-Control-Request-Headers的值用于Access-Control-Allow-Header，或者我可能误解了Access-Control-Request-Header的用法。 / p>