CORS 測試器與政策分析器
在瀏覽器中測試 CORS，或以任意來源模擬預檢請求
請求
以伺服器請求模擬，實際結果由瀏覽器執行。CodingTool 伺服器會送出預檢請求（GET、HEAD 方法也會送出該請求），不含 Cookie、標頭值或本文，只回傳回應標頭。不會儲存任何內容。
以 Origin 標頭送出。測試沙箱頁面或本機檔案時請使用 null。
每行一個。只有標頭名稱會送到伺服器，值會留在你的瀏覽器中。
簡單請求：瀏覽器無需預檢即可送出。
檢查含 Cookie 或 HTTP 驗證之請求的規則。不會實際送出任何憑證。
額外送出一次預檢請求，使用無關來源 https://cors-probe.example。
結果
回應標頭
測試後，回應標頭會顯示在這裡。
CORS 測試器檢查什麼？
它說明瀏覽器是否允許某個來源的網頁讀取另一個來源的回應，以及原因。政策模擬會評估 Access-Control-Allow-Origin、-Credentials、-Methods、-Headers、-Expose-Headers、-Max-Age 和 Vary: Origin，並將每項檢查標示為通過、警告、失敗或資訊，同時附上對應的標頭值。
瀏覽器測試還是政策模擬？
瀏覽器測試會從你的瀏覽器送出真實的 fetch，因此結果就是瀏覽器的實際執行結果，但來源一律是 CodingTool.dev，遭封鎖的請求只會回報一般錯誤。政策模擬會請 CodingTool 伺服器以你選擇的來源送出預檢，並分析回應標頭。這是模擬，最終結果由瀏覽器執行。
瀏覽器何時送出預檢？
若請求使用 GET、HEAD、POST 以外的方法，使用 CORS 安全清單之外的標頭，或使用 text/plain、multipart/form-data、application/x-www-form-urlencoded 以外的 Content-Type，瀏覽器會先以 OPTIONS 送出預檢。預檢必須回傳 2xx 狀態碼，且不得重新導向。
憑證與萬用字元
含憑證時，Access-Control-Allow-Origin 必須指定確切來源，Access-Control-Allow-Credentials 必須為 true。對含憑證的請求而言，Allow-Origin、Allow-Methods、Allow-Headers 或 Expose-Headers 中的 * 都視為字面值，而 Allow-Headers: * 從不涵蓋 Authorization。寬鬆的標頭不等於漏洞，本工具回報的是瀏覽器接受的內容。
網路使用與隱私
瀏覽器測試的流量只會從你的瀏覽器送往目標。政策模擬會將 URL、來源、方法和標頭名稱送到 CodingTool 伺服器，絕不送出標頭值、Cookie 或請求本文。伺服器會封鎖私人、本機和雲端中繼資料位址，每次連線都重新檢查位址，不跟隨重新導向，8 秒後停止，有頻率限制，且不儲存任何內容。
