Access-Control-Allow-Origin设置“*”，为什么浏览器还有限制

Access-Control-Allow-Origin设置为"*"，意味着允许来自任何源的跨域请求。然而，尽管这个设置看起来很宽松，浏览器仍然会有一些安全限制，称为同源策略(Same-Origin Policy)。

同源策略是JavaScript的安全特性，它防止了一个页面从另一个不同源的资源（如域名、协议或端口）获取数据或执行脚本。即使服务器设置了 "*"，浏览器在实际执行时仍会对请求做检查：

1. XMLHttpRequest (XHR): 浏览器只允许发往指定来源的响应携带必要的CORS头信息（包括Access-Control-Allow-Origin），如果不符合，则会阻止请求。

2. Fetch API 或 JavaScript CORS 请求: 虽然Fetch API不会像XHR那样抛出错误，但它仍然会在后台应用相同的同源策略限制。

3. 安全沙箱限制: 对于某些敏感操作（比如cookies或本地存储），即使服务器设为 "*", 浏览器出于隐私保护原因仍可能会有所限制。

因此，虽然 "*": "*"看似无限制，但在实际开发中，为了确保安全性，通常推荐明确指定允许的源而不是使用通配符。