Поле заголовка запроса X-CSRFToken недопустимо с помощью заголовков Access-Control-Allow-Headers в предполетном ответе

Question

Я пытаюсь вызвать API-интерфейс API GroupMe для получения ответа JSON, но получил следующую ошибку:

XMLHttpRequest cannot load ...(call url)... 
Request header field X-CSRFToken is not allowed by Access-Control-Allow-Headers in preflight response. 

My Javascript выглядит следующим образом:

var xmlhttp = new XMLHttpRequest(); 
var url = (call url) 

xmlhttp.onreadystatechange = function() { 
    if (xmlhttp.readyState == 4 && xmlhttp.status == 200) { 

    xmlhttp.open("GET", url, true); 
    xmlhttp.setRequestHeader("Access-Control-Allow-Headers", "*"); 
    xmlhttp.setRequestHeader('Access-Control-Allow-Origin', '*'); 

    $.getJSON(url, function(data){ 
     var array = data.response.messages.reverse(); 
     for(i = 0; i<array.length; i++){ 
      $('.messages').append("<div class='message'>"+array[i].name+":<br>"+array[i].text+"</div>"); 
     } 
    }); 
    } 
} 

xmlhttp.open("GET", url, true); 
xmlhttp.send(); 

Я не очень понимаю, как заголовки запроса работать таким образом, я предполагаю, что я не устанавливать заголовки правильно. Может ли кто-нибудь указать мне в правильном направлении, как я могу настроить заголовки, чтобы исправить эту проблему?

Answer 1

      Если вы делаете вызов к серверу третьей стороны, для предполетного запроса, response header должен содержать Access-Control-Allow-Headers: X-CSRF-Token, чтобы избавиться от ошибки вы получите. Но у нас нет контроля над этим.

      Это полностью под нашим контролем, если вызов на наш сервер, где вы можете добавить Access-Control-Allow-Headers: X-CSRF-Token в ответ на ваш предполетного запроса, который имеет тип OPTIONS в случае, если вы отправляете ajax jQuery request с crossDomain parameter set to true ,