同源策略、CORS 与跨域

Origin 的组成：协议、主机与端口。
浏览器同源策略的作用范围。
CORS 的目的与响应头：允许的来源、方法、请求头与凭据。
简单请求与预检请求（OPTIONS）的触发条件。
`Access-Control-Allow-Origin`、`Access-Control-Allow-Methods`、`Access-Control-Allow-Headers`、`Access-Control-Allow-Credentials`。
带凭据请求不能将 `Access-Control-Allow-Origin` 设置为 `*`。
为什么浏览器可能已经发出跨源请求，却不允许脚本读取响应。
为什么 Postman、curl 或后端调用成功，不代表浏览器跨域配置正确。
CORS 是浏览器跨源访问控制机制，不是身份认证和授权机制。