Проєктування API · Middle · Запитання 67 з 75
Чому API не може відповідати Access-Control-Allow-Origin: * на браузерні запити з обліковими даними?
- ✓Правильна відповідь: Браузери відхиляють wildcard, коли включені cookies чи автентифікація; сервер має повертати конкретне дозволене джерело
- 2Це працює, але повільніше
- 3Wildcard - некоректний синтаксис
Пояснення
Повертайте лише джерела з білого списку й додайте Vary: Origin, щоб кеші не змішували відповіді для різних джерел.