CSRF 攻击的原理大致描述如下：有两个网站，其中A网站是真实受信任的网站，而B网站是危险网站。在用户登陆了受信任的A网站是，本地会存储A网站相关的Cookie，并且浏览器也维护这一个Session会话。这时，如果用户在没有登出A网站的情况下访问危险网站B，那么危险网站B就可以模拟发出一个对A网站的请求（跨域请求）对A网站进行操作，而在A网站的角度来看是并不知道请求是由B网站发出来的（Session和Cookie均为A网站的），这时便成功发动一次CSRF攻击

Access to XMLHttpRequest at 'http://A' from origin 'http://B' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

# pip install Flask-Cors
from flask_cors import *

app = Flask(__name__)
CORS(app, supports_credentials=True)

    # * 代表所有，可以只使用http://xxxxx替换*,解决单个跨域的问题，不能同时加两个add_header Access-Control-Allow-Origin ，如果需要解决多个跨域问题，使用下面多个域名解决方案
    add_header Access-Control-Allow-Origin "*" always;
    add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS';
    add_header Access-Control-Allow-Headers 'DNT,X-Mx-ReqToken,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization';

# 多个域名解决方案
if ($http_referer ~ (aaa.com$|bbb.com$) ) {
  add_header "Access-Control-Allow-Origin" "$http_referer" always;
    add_header Access-Control-Allow-Credentials 'true';
    add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS';
    add_header Access-Control-Allow-Headers 'DNT,X-Mx-ReqToken,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization';
}

Access to XMLHttpRequest at 'http://A/api1' from origin 'http://B/bpi1' has been blocked by CORS policy: Response to preflight request doesn't pass 'bpi1' access control check: The Access-control-Allow-origin header contains multiple values 'http://B,http://B',but only one is allowed