来自3D坦克-WIKI
使用跨域AJAX请求(CORS)访问API时，请将其设置为来源域。这必须包括在任何预检请求中，因此必须是请求URI（而不是POST正文）的一部分。
对于已验证的请求，这必须正确匹配Origin标头中的来源之一，因此必须将其设置为类似https://zh.wikipedia.org或https://meta.wikimedia.org的值。如果此参数与Origin标头不匹配，将返回403响应。如果此参数与Origin标头匹配并且来源被允许，则将设置Access-Control-Allow-Origin和Access-Control-Allow-Credentials标头。
对于未验证的请求，请指定值*。这将导致Access-Control-Allow-Origin标头被设置，但Access-Control-Allow-Credentials将为false，且所有用户特定数据将受限制。
