1. 面向开发者的 Web 技术
  2. HTTP
  3. 参考
  4. HTTP 标头
  5. Access-Control-Expose-Headers

此页面由社区从英文翻译而来。了解更多并加入 MDN Web Docs 社区。

View in English Always switch to English

Access-Control-Expose-Headers

基线 广泛可用

自 2015年7月 起，此特性已在主流浏览器中得到支持，可在大多数设备和浏览器版本中正常使用。

响应标头 Access-Control-Expose-Headers 允许服务器指示那些响应标头可以暴露给浏览器中运行的脚本，以响应跨源请求。

默认情况下，仅暴露列入 CORS 白名单的请求标头。如果想要让客户端可以访问到其他的标头，服务器必须将它们在 Access-Control-Expose-Headers 里面列出来。

标头类型 响应标头
禁止修改的标头 否

语法

http
Access-Control-Expose-Headers: [<header-name>[, <header-name>]*]
Access-Control-Expose-Headers: *

指令

<header-name>

允许客户端从响应中访问的 0 个或多个使用逗号分隔的标头名称列表。这些标头是对列入 CORS 白名单的请求标头的补充。

*（通配符）

若请求没有携带凭据（请求没有 HTTP Cookie或认证信息），“*”才会被当作一个特殊的通配符。对于带有凭据的请求，会被简单地当作标头名称“*”，没有特殊的语义。

示例

想要暴露一个非简单响应标头，可以这样指定：

http
Access-Control-Expose-Headers: Content-Encoding

想要额外暴露自定义的标头，例如 Kuma-Revision，可以指定多个，用逗号隔开：

http
Access-Control-Expose-Headers: Content-Encoding, Kuma-Revision

服务器可以为不带凭据的请求响应通配符：

http
Access-Control-Expose-Headers: *

但是，这并不会匹配 Authorization 标头，所以如果你要暴露它，需要显式指定：

http
Access-Control-Expose-Headers: *, Authorization

规范

规范
Fetch
# http-access-control-expose-headers

浏览器兼容性

参见

帮助改进 MDN

了解如何参与贡献

此页面最后更新于 ，由 MDN 贡献者更新。

在 GitHub 上查看此页面 • 报告此内容的问题