Access-Control-Allow-Origin
response header
value:
1. * 允许任何域名的跨域请求
2. 包含协议头在内的一个具体的域名
当设置了XMLHttpRequest的withCredentials为true的时候，请求的credential mode 为include，响应头里该头信息的值不能为 *，必须是一个具体的值，并且响应头必须带有Access-Control-Allow-Credentials头信息，且值为true，响应才允许展示
Timing-Allow-Origin
response header
value:
1. *
2. <origin>[,<origin>]*
允许使用站点使用Resurce Timing api
