XMLHttpRequest CORS 头缺少 Access-Control-Allow-Origin

当通过 XMLHttpRequest（XHR）进行跨域请求时，如果服务器响应头缺少 `Access-Control-Allow-Origin` 字段，或者其值不包括客户端发起请求的源地址，浏览器会认为这是一个跨域请求，并拒绝加载资源。这个头信息是CORS机制的核心部分，它告诉浏览器哪些源是被允许访问当前服务器内容的。

如果服务器返回的 `Access-Control-Allow-Origin` 为 `*` 或者等于请求源（例如 `http://yourdomain.com`），则表示所有源都可以访问；如果是具体的域名或 IP 地址，则只允许指定的源访问。如果该字段缺失，或者设置为 `null`、`none` 或者空字符串，那么默认的行为通常是不允许跨域请求。

为了成功处理跨域，服务器需要设置合适的 `Access-Control-Allow-Origin`，并且还要考虑其他 CORS 相关的头信息，比如 `Access-Control-Allow-Methods`, `Access-Control-Allow-Headers`, 等等。如果遇到这种情况，开发者通常需要联系服务器管理员调整服务器设置，或者在客户端采取其他方式绕过同源策略的限制。