javascript - 为什么添加额外的 header 会导致 AJAX 调用失败

Question

AJAX 调用:

$.ajax({
    url: "http://myserver2:296/api/Demo/HelloWorld",
    type: "GET",
    dataType: 'JSONP',
    jsonp: "callback",
    headers: { 'API_KEY': 'mykey09090' },
    success: function (result) {
        console.log(result);
    },
    error: ajaxFailed
});

function ajaxFailed(xmlRequest) {
    alert(xmlRequest.status + ' \n\r ' +
          xmlRequest.statusText + '\n\r' +
          xmlRequest.responseText);
}

我收到以下错误:无法加载资源:服务器响应状态为 403(禁止)。但是，当我使用 Postman 时，我只需使用 http://myserver2:296/api/Demo/HelloWorld url 添加 header ，它会返回字符串。

我可以寻求一些帮助来解决该问题吗？

我的目标是允许源服务器以及正确提供的 API key 从 Web Api 获取数据。

Answer 1

将 API_KEY header 添加到请求 triggers your browser to first send a CORS preflight OPTIONS request 。除了定义为 CORS-safelisted request-headers 的 header 之外，您添加到请求的任何 header 将触发您的浏览器发送 CORS 预检选项请求。

我不能确定，但​​您看到的 403 似乎来自您的服务器响应该 OPTIONS 请求，并表示它不希望收到 OPTIONS 请求并且不允许它们。

您没有从 Postman 获得此信息的原因是，与浏览器引擎不同，Postman 没有实现 CORS，因此它不会发送 OPTIONS 请求。 (Postman 并不在浏览器为 Web 应用程序强制执行的同源 Web 安全模型下运行。)

因此，为了使您的客户端应用程序按脚本化跨域访问该服务器的预期方式工作，您必须将服务器配置为以正确的方式响应 CORS 预检选项请求。