看看@ sap/approuter模块的自述文件：

跨域

使用CORS关键字，例如，通过允许修改请求标头，可以为跨域请求提供支持。 跨域资源共享（CORS）允许来自其他域的网页向您的应用程序域发出HTTP请求，在这种情况下，Web浏览器的安全策略通常会自动拒绝此类请求。 跨域资源共享（CORS）是一种机制，它允许从提供第一资源的域（/protocol/port）之外的另一个域（/protocol/port）请求网页上的受限资源。 CORS配置使您可以定义详细信息，以控制其他Web浏览器对应用程序资源的访问。 例如，您可以指定请求的来源或请求和响应标头中允许的内容。

Cross-Origin配置在 CORS 环境变量中提供。

CORS配置是一个对象数组。 以下是CORS对象可以具有的属性：

PropertyTypeOptionalDescriptionuriPatternString一个正则表达式，表示CORS配置适用于哪些源路由。 为确保RegExp与完整路径匹配，请用^和$括起来。 默认值：none.allowedOriginArray，以逗号分隔的对象列表，每个对象包含服务器允许的主机名，端口和协议。例如：[{" host"：" www.sap.com"} ]或[{" host"：" 。 sap .com "}]。 注意：匹配区分大小写。 此外，如果未指定端口或协议，则默认值为" _ _"。默认值：none.allowedMethods大写HTTP方法的数组x逗号分隔的服务器允许的HTTP方法列表。 默认值：适用[[GET]，" POST"，" HEAD"，" OPTIONS"]（全部）。 注意：匹配区分大小写。maxAgeNumberx单个值，指定应将预检响应缓存多长时间（以秒为单位）。 负值将阻止CORS筛选器将此响应标头添加到飞行前响应。 默认值：1800.allowedHeadersHeader的数组x逗号分隔的服务允许的请求标头列表。 默认值：[" Origin"，" Accept"，" X-Requested-With"，" Content-Type"，" Access-Control-Request-Method"，" Access-Control-Request-Headers"]。exposeHeadersArray of headersxComma- 可以公开的响应标头（简单标头除外）的分隔列表。 默认值：none.allowedCredentialsBooleanx一个标志，指示资源是否支持用户凭据。 默认值：true。