为什么为相同来源的请求发送原始标头？

Question

根据https://fetch.spec.whatwg.org/#origin-header：

Origin标头是Referer标头的一个版本，不显示路径。它用于请求的响应污染为“ cors”的所有HTTP提取，以及请求的方法既不是GET也不是HEAD的HTTP提取。由于兼容性方面的限制，并未将其包含在所有提取中。

据我了解，特别是Origin头应该与任何相同来源的请求一起发送，除了GET和HEAD方法之外。 Origin标头在这种同源情况下如何有用？为何对GET和HEAD方法进行例外处理？

Answer 1

它可以帮助缓解CSRF。因此，您知道自己的网站进行了POST。将Origin用作CSRF缓解措施是事后的想法，并且由于已将其部署以供CORS使用，因此，至少在为GET添加服务器时，有些服务器感到困惑，这就是为什么它不包含在其中。