HTTP Access-Control-Expose-Headers заголовок ответа позволяет серверу указать, какие заголовки ответа должны быть доступны скриптам, выполняющимся в браузере, в ответ на межсайтовый запрос.

По умолчанию доступны только заголовки ответа, разрешённые списком CORS. Чтобы клиенты могли обращаться к другим заголовкам, сервер должен перечислить их в заголовке Access-Control-Expose-Headers.

Синтаксис

Access-Control-Expose-Headers: [<header-name>[, <header-name>]*]
Access-Control-Expose-Headers: *

Директивы

<header-name>

Список из нуля или более имён заголовков, разделённых запятыми, к которым клиенты могут обращаться в ответе. Они указываются в дополнение к заголовкам ответа, разрешённым списком CORS.

* (подстановочный символ)

Любой заголовок. Значение * считается специальным подстановочным значением только для запросов без учётных данных (запросов без файлов cookie HTTP или данных аутентификации HTTP). В запросах с учётными данными оно трактуется как буквальное имя заголовка *.

Примеры

Заголовки ответа, разрешённые списком CORS: Cache-Control, Content-Language, Content-Length, Content-Type, Expires, Last-Modified, Pragma. Чтобы сделать доступным заголовок ответа, не входящий в список CORS, можно указать:

Access-Control-Expose-Headers: Content-Encoding

Чтобы дополнительно сделать доступным пользовательский заголовок, например Kuma-Revision, можно указать несколько заголовков, разделённых запятыми:

Access-Control-Expose-Headers: Content-Encoding, Kuma-Revision

Для запросов без учётных данных сервер также может ответить подстановочным значением:

Access-Control-Expose-Headers: *

Для запросов с учётными данными сервер также может ответить значением *, но в этом случае оно будет обозначать заголовок с именем *.

Спецификации

Совместимость с браузерами

См. также

• Access-Control-Allow-Headers
• Access-Control-Allow-Origin