那是告诉正规的浏览器的，正规浏览器都会遵守这个规定，不然用户数据就得不到保障了。 chrome 也可以用--disable-web-security 这个命令关闭安全设置。 当然你自己写的各种 py ，或者其他脚本，可以随便忽视这个头。

楼主感到疑惑：貌似只是告诉客户端一个白名单让客户端自觉连接，服务端是不是还要判断 @$%^&% 楼主可能知道这是什么，但是不知道这个目的是什么...我们从头来说吧 5 楼说了安全问题。是的。如果 A 网站能读取浏览器保存的 B 网站的 Cookie ，或者 A 网站的脚本能随意让浏览器对 B 网站发起请求(比如转账操作)，是不是不安全？ 于是搞了一个同源策略。如果非同源，即便要求发 Ajax 也会拒绝。非同源就 0 信任。 但是这样的同源策略是否有些过于严格？ 如果我前后端分离，我域名或者端口就是不一样怎么办？我前端就是需要加载别的域名的 API 怎么办？反正我就是要加载非同源的东西，你一个同源策略因为安全问题就把它堵死了？搞得 AJAX 用不了。 楼主说的 Access-Control-Allow-Origin 这就来了。 后端需要告诉浏览器，哪个前端网站你可以信任，在他的页面可以给我发请求，我们是一家的。 这是设置一种因为信任而可以设置安全例外的做法。 客户端不自觉？那是客户端有安全缺陷。你做网站的恐怕做不了太多。

就是表个态而已，chrome 完全可以用插件或者启动参数关闭 cors 错误， 保护的是懵懂的用户，避免误上套壳网站比如 iframe 嵌套你的网站，这种用户数据有泄露风险，设置那个就会报错 cros ，

浏览器就是自觉，减少让你点个链接就被黑了的情况

这个只针对浏览器, 但不针对 Postman 这种.

不是为了限制，这个头存在的意义是为了解除限制，允许别人访问你的资源，默认拒绝

代理检测：在线检测您是否在使用 Clash Clash 检测工具的原理 https://fex.com/t/1076961 之前的帖子正好于此有关 搞清楚 客户端 a 网站 / 服务端 b 网站 / 浏览器 这三方谁有可能恶意

这个保护的是终端用户，减少用户成为肉鸡的可能，保护用户的信息安全，大概这意思。和服务端的安全嘛...没啥关系