HTTP-заголовок Access-Control-Allow-Origin ответа указывает, может ли ответ быть доступен запрашивающему коду с указанного источника.

Синтаксис

Access-Control-Allow-Origin: *
Access-Control-Allow-Origin: <origin>
Access-Control-Allow-Origin: null

Директивы

* (подстановочный знак)

Запрашивающему коду с любого источника разрешён доступ к ресурсу. Для запросов без учётных данных в качестве подстановочного знака можно указать буквальное значение *. Попытка использовать подстановочный знак с учётными данными приводит к ошибке.

<origin>

Указывает один источник. Если сервер поддерживает клиентов с нескольких источников, он должен возвращать источник конкретного клиента, отправившего запрос.

null

Указывает источник "null".

Примечание: Не следует использовать значение null. Может показаться безопасным возвращать Access-Control-Allow-Origin: "null"; однако источник ресурсов, использующих неиерархическую схему (например, data: или file:), а также изолированных документов сериализуется как null. Многие браузеры предоставят таким документам доступ к ответу с заголовком Access-Control-Allow-Origin: null, и любой источник может создать вредоносный документ с источником null. Поэтому следует избегать значения null для заголовка Access-Control-Allow-Origin.

Примеры

Ответ, сообщающий браузеру, что к ресурсу разрешён доступ коду с любого источника, будет содержать следующее:

Access-Control-Allow-Origin: *

Ответ, сообщающий браузеру, что к ресурсу разрешён доступ запрашивающему коду с источника https://developer.mozilla.org, будет содержать следующее:

Access-Control-Allow-Origin: https://developer.mozilla.org

Чтобы ограничить возможные значения Access-Control-Allow-Origin набором разрешённых источников, на стороне сервера нужно проверить значение заголовка запроса Origin, сравнить его со списком разрешённых источников и, если значение Origin есть в списке, установить значение Access-Control-Allow-Origin равным значению Origin.

CORS и кеширование

Предположим, сервер отправляет ответ со значением Access-Control-Allow-Origin, содержащим конкретный источник (а не подстановочный знак *). В этом случае ответ также должен содержать заголовок ответа Vary со значением Origin — чтобы сообщить браузерам, что ответы сервера могут различаться в зависимости от значения заголовка запроса Origin.

Access-Control-Allow-Origin: https://developer.mozilla.org
Vary: Origin

Спецификации

Совместимость с браузерами

См. также

• Origin
• Vary
• Обмен ресурсами между источниками (CORS)
• Cross-Origin-Resource-Policy