En-tête de réponse sûr pour le CORS
Un en-tête de réponse sûr pour le CORS est un en-tête HTTP d'une réponse CORS dont on considère qu'il est sûr et peut être exposé aux scripts côté client. Seuls les en-têtes de réponse sûrs sont disponibles pour les pages web.
Par défaut, la liste des en-têtes de réponse sûrs contient :
Des en-têtes supplémentaires peuvent être indiqués comme sûr à l'aide de l'en-tête Access-Control-Expose-Headers.
Note :
Initialement, Content-Length ne faisait pas partie de la liste par défaut des en-têtes de réponse sûrs (voir la pull request 626 du dépôt Fetch).
Exemples
Étendre la liste sûre
La liste des en-têtes de réponse sûrs pour le CORS peut être étendue à l'aide de l'en-tête Access-Control-Expose-Headers :
http
Access-Control-Expose-Headers: X-Custom-Header, Content-Encoding