CORS-通过javascript处理iframe中的数据

Question

我控制着2台不同的服务器。假设第一个托管在https://foo.com，另一个托管在https://bar.com

在我的服务器（https://foo.com）上，我的iframe编码如下：

<iframe src="https://bar.com/somePage" id="myIframe" />
// and later in the code...
document.getElementById('myIframe').onload = () => 
  console.log(document.getElementById('myIframe').contentWindow.document.body.innerHTML)

在我的另一台服务器（https://bar.com）上，我在响应标头中进行了以下设置：（对于最后2个条目，服务器似乎将框转换为小写）

Access-Control-Allow-Origin: "*"
access-control-allow-credentials: "true"
access-control-allow-methods: 'GET, POST, OPTIONS"

当我检查日志时，出现“错误：拒绝访问属性'document'的权限（指contentWindows document变量）。

我在设置CORS方面做得不对吗？