javascript – 预检响应中的Access-Control-Allow-Headers不允许使用请求标头字段X-CSRFToken

我正在尝试对GroupMe API进行API调用以获取 JSON响应,但一直收到以下错误：

XMLHttpRequest cannot load ...(call url)... 
Request header field X-CSrftoken is not allowed by Access-Control-Allow-Headers in preflight response.

我的Javascript看起来像这样：

var xmlhttp = new XMLHttpRequest();
var url = (call url)

xmlhttp.onreadystatechange = function() {
    if (xmlhttp.readyState == 4 && xmlhttp.status == 200) {

    xmlhttp.open("GET",url,true);
    xmlhttp.setRequestHeader("Access-Control-Allow-Headers","*");
    xmlhttp.setRequestHeader('Access-Control-Allow-Origin','*');

    $.getJSON(url,function(data){
        var array = data.response.messages.reverse();
        for(i = 0; i<array.length; i++){
            $('.messages').append("<div class='message'>"+array[i].name+":<br>"+array[i].text+"</div>");
        }
    });
    }
}

xmlhttp.open("GET",true);
xmlhttp.send();

我真的不明白请求标头是如何工作的所以我猜我没有正确设置标头.有人能指出我如何设置标题来解决这个问题吗？

解决方法

如果您正在调用第三方服务器,对于预检请求,响应头应包含Access-Control-Allow-Headers：X-CSRF-Token以消除您获得的错误.但我们无法控制它.

如果调用我们的服务器,您可以添加,这完全在我们的控制之下Access-Control-Allow-Headers：对您的预检请求的响应中的X-CSRF-Token,如果您要发送一个crossDomain参数设置为true的ajax jQuery请求,则为OPTIONS类型.