为什么服务器端 Access-Control-Allow-Credentials = true时，参数Access-Control-Allow-Origin 的值不能为 '*'

当服务器端设置 Access-Control-Allow-Credentials 为 true 时，意味着服务器允许客户端发送带有凭据（例如 Cookie、HTTP 认证信息等）的请求。然而，如果 Access-Control-Allow-Origin 的值设置为 '*'，则表示允许所有来源的请求访问资源。这样的设置将不安全，因为允许任何网站发送带有凭据的请求，可能会导致安全风险，例如 CSRF（跨站请求伪造）攻击。

为了保护用户的安全，浏览器实现了一种策略，即当请求带有凭据时，Access-Control-Allow-Origin 的值不能为 '*'，而是需要明确指定允许访问资源的来源。

因此，如果服务器端设置 Access-Control-Allow-Credentials 为 true，你需要将 Access-Control-Allow-Origin 的值设置为请求的实际来源（Origin），以确保安全性。例如，可以设置为特定的域名或使用动态获取请求的来源并在响应中返回。

相关问题

[Response] 200 3ms, headers: {Access-Control-Allow-Origin=http://localhost:8080, Access-Control-Allow-Credentials=true, Vary=Origin},

[Response] 200 3ms是一个HTTP响应的状态码和时间信息。其中，200表示请求成功，3ms表示服务器处理该请求所花费的时间。

headers是HTTP响应头的一部分，它包含了一些与响应相关的元数据信息。在这个例子中，headers中的Access-Control-Allow-Origin表示允许跨域请求的源地址为http://localhost:8080，Access-Control-Allow-Credentials表示允许携带身份凭证进行跨域请求，Vary=Origin表示根据请求头中的Origin字段来决定是否缓存响应。

Access-Control-Allow-Origin Access-Control-Allow-Credentials 是什么意思

Access-Control-Allow-Origin 和 Access-Control-Allow-Credentials 是HTTP头部字段，用于实现跨源资源共享（CORS）策略的一部分。

1. **Access-Control-Allow-Origin**：这个头字段用于指定服务器允许哪些源（通常是一个URL）发起跨域请求。如果一个响应包含此字段，并且其值匹配客户端发起请求的源（包括`*`通配符表示所有来源），那么浏览器将允许显示来自该源的数据，否则会阻止跨域访问。

2. **Access-Control-Allow-Credentials**：这个字段指示响应是否可以携带cookie（即是否允许发送或接收身份验证信息）。默认情况下，浏览器不允许在跨域请求中发送cookies，除非服务器明确设置这个字段为`true`。当设置为`true`时，浏览器会在请求头中附带`withCredentials`标志，使得像JWT这样的凭据能够随同跨域请求一起发送。