【转】ajax发送请求时候为什么会报拒绝设置不安全的header

浏览器不允许用户手动设置敏感的Http header包括但不限于cookie、host、referer

为了安全，跨域XHR对象有一些限制：

• 不能使用 setRequestHeader() 设置自定义头部
• 不能发送和接收 cookie
• 调用 getAllResponseHeaders() 方法总会返回空字符串

参考：
1.《JavaScript高级程序设计（第3版）》 - 21.4.2 其他浏览器对 CORS 的实现
<img src="https://pic1.zhimg.com/50/34e9574627997f5453d2379f2b3a9471_hd.jpg" data-rawwidth="847" data-rawheight="550" class="origin_image zh-lightbox-thumb" width="847" data-original="https://pic1.zhimg.com/34e9574627997f5453d2379f2b3a9471_r.jpg">

作者：April
链接：https://www.zhihu.com/question/36723766/answer/193913511
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

这种问题还是要看标准的XMLHttpRequet相关接口的定义，设置request header头的时候，有些name是被禁止的：

<img src="https://pic1.zhimg.com/50/v2-c01b98328ef7ae95b8ad00b110ff9e2c_hd.jpg" data-rawwidth="754" data-rawheight="319" class="origin_image zh-lightbox-thumb" width="754" data-original="https://pic1.zhimg.com/v2-c01b98328ef7ae95b8ad00b110ff9e2c_r.jpg">

文档已经列出了这些被禁止的name：

<img src="https://pic3.zhimg.com/50/v2-5b199e5f233e39293ad2d8291340da84_hd.jpg" data-rawwidth="698" data-rawheight="410" class="origin_image zh-lightbox-thumb" width="698" data-original="https://pic3.zhimg.com/v2-5b199e5f233e39293ad2d8291340da84_r.jpg">

所以，碰到这种问题最快捷的方法是直接看官方文档。

from：https://www.zhihu.com/question/36723766