IIS6 Permitindo o CORS sem Access-Control-Allow-Origin

Question

Eu não entendo o que está acontecendo aqui. Eu tenho dois sites IIS6 em execução no mesmo servidor. Um é www.example1.com e o outro é www.example2.com

Ao olhar para os Cabeçalhos HTTP no Google Chrome, não vejo cabeçalhos Access-Control-Allow- *. No entanto, quando eu solicito um recurso de um dos domínios, a solicitação é bem-sucedida.

Alguém pode me explicar por que a solicitação foi bem-sucedida?

    

Answer 1

Se você não enviar a solicitação do código JavaScript de frontend em um aplicativo Web, a solicitação será bem-sucedida. O navegador obtém a resposta independentemente - mas o navegador é o único ponto de imposição para restrições em solicitações de origem cruzada. Se uma resposta não tiver um cabeçalho de resposta Access-Control-Allow-Origin , o navegador será o ponto no qual ela será bloqueada, mas o navegador só restringirá a capacidade do código JavaScript XHR / Fetch de acessar a resposta. Caso contrário, você ainda poderá ver a resposta em devtools do navegador e se carregar o URL de solicitação na barra de endereço do navegador ou usar o URL de solicitação como o valor href ou src em sua origem HTML.