CORS是服务器设置的规则，告诉浏览器能不能跨域访问资源。比如你用网页A访问网页B的图片，服务器得先检查域名是不是同一个，如果是不同域名，浏览器就会弹出警告说“不能访问”。如果你在开发网站，发现图片、脚本、API请求总被浏览器拦截，可能就是CORS没配置好。

为什么得这么设计呢？因为浏览器自带安全锁，怕有人恶意跨域拿走数据。前年统计显示，全球43%的跨域请求失败是因为CORS配置错误，比如没开允许的域名列表，或者没写正确的请求头。比如你访问 Access-Control-Allow-Origin ;`，或者只放特定域名。其实原理就是服务器和浏览器互相打招呼，说“这个请求我允许你跨域来”。不过要注意，现在很多框架（比如Vue、React）有自动处理CORS的功能，但遇到复杂情况还得手动调。