Wenn du mit einer domänenübergreifenden AJAX-Anfrage (CORS) auf die API zugreifst und einen Sitzungsanbieter verwendest, der gegen Cross-Site-Request-Forgery (CSRF)-Angriffe sicher ist (z. B. OAuth), verwende dies anstelle von origin=*, damit die Anfrage authentifiziert (d. h. nicht abgemeldet) ist. Dies muss in jeder Preflight-Anfrage enthalten sein und muss daher Teil der Anfrage-URI sein (nicht des POST-Bodys).
Beachte, dass die meisten Sitzungsanbieter, einschließlich Standard-Cookie-basierte Sitzungen, kein authentifiziertes CORS unterstützen und nicht mit diesem Parameter verwendet werden können.