访问控制允许来源语法

我希望允许所有的跨源资源共享from.example.com 的子域。 因此，我将如下所示的跨源资源共享标头添加到了页面中subdomain1.to.example.com.

<?php header('Access-Control-Allow-Origin: *.from.example.com');

我尝试访问页面表单subdomain1.from.example.com使用ajax。 我没有得到回应。所以我只是更改了上面的标题，如下所示。

<?php header('Access-Control-Allow-Origin: http://subdomain1.from.example.com');

它适用于subdomain1.from.example.com only.

第一个标题有什么问题？

中不允许使用通配符Access-Control-Allow-Origin标头。它必须是完全匹配的。您可以通过将值设置为来允许所有域*，或有条件地回显该值Origin请求标头（如果它与您允许的域之一匹配）。

请注意，原产地规格允许 https://www.rfc-editor.org/rfc/rfc6454#section-7.1对于由空格分隔的多个原点。但是我不确定这是否适用于Access-Control-Allow-Origin标头。也许值得一试。