@Nosub #250
看开头就知道你没有了解 CORS 的本质。CORS 不是服务器端的需求，不是所谓防止“被未知的应用请求”。因为除了在正规浏览器正常运行的网页外，其他客户端应用都可以任意设定伪造 HTTP 头。而 CORS 基于 HTTP 头运行，可以说不考虑伪造，所以 CORS 不能实现你想象中的效果。

CORS 就是浏览器的需求，目的是在用同源策略保护用户的前提下让网站能实现一些功能。正常情况下在浏览器浏览的 a.com 里的网页通过脚本跨站访问 b.com 不会带 b.com 的 cookie ，而 b.com 设定好 CORS 之后浏览器就会允许这种访问带 cookie 。
早期有些浏览器没有严格执行同源策略，导致正常网站和恶意网站可以任意跨站。现在各大浏览器都修复了这种安全问题，正常网站想继续跨站就要在 b.com 设置 CORS 允许 a.com 访问。所以 CORS 是浏览器规定和推动的。

跨域问题只存在于浏览器，完全由浏览器负责拦截，服务器不能简单利用 CORS 防止未知客户端伪造 HTTP 头，要防止那是反爬的技术。