额。。。我认为楼主要是完全搞明白了，就不会说是 “跨域” 了，也不知道这个词最开始是谁给翻译的。 这个词严谨的说法应该叫 “跨源” , 源包含了：域、协议或端口 。"同源策略"中的 “源” 说的也是这个
太正常了。 web 环境跟 server 环境经常混为一谈。狭义一点的 web 环境，应该是指浏览器环境。 但是 http server 不是只服务于浏览器。 经典的几个莫名其妙的问题以及神奇操作。 1. cookie 与 session 有什么区别？二者不是之间替代品，没什么好比较。 2. cookie 与 jwt token 有什么区别？二者不是之间替代品，没什么好比较。 3. 在浏览器环境，把 jwt token 塞 Authentication header 里。那请问你的 jwt token 不是需要让 js 访问吗？那不是等于会泄露在某处？ 4. 把公开的 API 加上 CSRF 保护。这类 API ，一般会用服务于 sdk 、app 、server 2 server ，这种场景下防什么 CSRF 攻击。CSRF 攻击只在浏览器发生。server 可以分流，身份信息 放在 cookie 里的，是浏览器流量，需要 CSRF 保护，放在 Authentication header 里的，是一些非浏览器流量，不需要 CSRF 保护。 ...
居然被人贴了。。 你说的这些知识我都知道 解释一下那个帖子，那个问题是部署平台的问题（具体哪个鬼平台我就不说了），部署完后不生效一直使用的老缓存，导致我以为是 vite 在搞鬼，现在已经 OK 了，直接请求的后端接口
