CORS（跨源資源共享）是一種網絡瀏覽器的安全功能，它定義了一種瀏覽器和服務器交互的方式來確定是否允許跨源請求。CORS背後的主要思想是使用額外的HTTP頭部來告訴瀏覽器，一個來自不同源的請求是被允許的。這使得瀏覽器能夠執行跨域請求，而不會受到同源策略的限制。
CORS的詳細工作原理如下：
- 預檢請求：當瀏覽器發送一個跨域請求時，如果請求的方法不是簡單的GET、HEAD或POST請求，或者如果請求包含了某些特定的HTTP頭部（如自定義頭部），瀏覽器會先發送一個OPTIONS請求到服務器，以詢問是否允許進行實際的跨域請求。這個OPTIONS請求被稱爲預檢請求。
- 響應頭部：服務器在接收到預檢請求後，會檢查請求的源，並決定是否允許這個跨域請求。如果允許，服務器會在響應中包含一些CORS相關的HTTP頭部，如
Access-Control-Allow-Origin、Access-Control-Allow-Methods和Access-Control-Allow-Headers等。這些頭部告訴瀏覽器，哪些源、方法和頭部是允許的。 - 實際請求：如果預檢請求成功（即服務器返回了合適的CORS頭部），瀏覽器會發送實際的跨域請求。此時，瀏覽器會根據服務器返回的CORS頭部來決定是否允許該請求。
- 憑據請求：如果跨域請求需要包含用戶的憑據（如cookies或HTTP認證），瀏覽器會額外發送一個帶有
Access-Control-Allow-Credentials: true頭部的請求。服務器在響應中也必須包含這個頭部，並且Access-Control-Allow-Origin的值不能是*，而必須是請求的確切來源。
CORS的應用場景非常廣泛，包括但不限於：
- 前端開發：在前端開發中，經常需要從不同源的API獲取數據。使用CORS，可以安全地在瀏覽器中執行這些跨域請求。
- 第三方資源引入：在網頁中引入第三方資源（如字體、圖片或視頻）時，CORS可以確保這些資源的完整性和安全性。
- 單點登錄：在單點登錄場景中，CORS可以確保跨站點之間的認證和授權信息的安全傳輸。
CORS的優點包括：
- 遵循W3C標準，易於理解和實現。
- 配置簡單，只需在服務器端添加相應的響應頭即可。
- 支持各種HTTP請求方法。
然而，CORS也有一些缺點：
- 爲了安全考慮，瀏覽器會進行預檢查請求，這可能會增加一定的服務器負擔和請求時間。
- 只支持瀏覽器的XMLHttpRequest或Fetch API請求。
總的來說，CORS爲開發者提供了一種方便且安全的方式來處理跨域請求，使得不同源的網站和服務能夠相互通信和共享資源。