您可以在 TOS 控制台设置跨域访问 CORS（Cross\-Origin Resource Sharing）规则，当 TOS 收到跨域请求或 OPTIONS 请求时，会读取存储桶对应的 CORS 规则，进行相应的权限检查并返回相应的 Header，保证跨域传输数据的安全性。 ## 注意事项主账号默认拥有全部权限，IAM 子用户默认没有任何权限。如果您需要使用子账号执行该操作，则需要主账号通过 [IAM 策略](https://www.volcengine.com/docs/6349/102131)或[桶策略](https://www.volcengine.com/docs/6349/102126)为该子账号授予以下权限。 * 设置/删除 CORS 规则：`tos:PutBucketCORS` * 查看 CORS 规则：`tos:GetBucketCORS` ## 操作步骤 1. 登录[对象存储控制台](https://console.volcengine.com/tos)。 2. 在左侧导航栏，单击**桶列表**。 3. 在顶部导航栏，选择存储桶所属项目。 4. 在**桶列表**页面，单击目标桶名称。 5. 选择左侧导航栏中的**权限管理 \> 跨域访问设置**，在**跨域访问设置**页面，单击**创建规则**。 6. 在**创建CORS规则**页面，配置如下参数。 |参数 |是否必填 |说明 | |---|---|---| |来源 Origin |是 |指定允许跨域请求的来源。约束如下：

* IP地址或域名形式，允许带端口号。

* 需要携带 https:// 或 http://。

* 可填写多个，每行一个，以回车间隔。

* 每行最多只能有一个通配符 `*`。

* 最多可填写 1000 条。 | |操作 Methods |是 |指定允许的跨域请求方法，可指定一个或多个，包含 **PUT**、**GET**、**POST**、**DELETE**、**HEAD**。 | |Allow\-Headers |否 |指定允许跨域请求的响应头。约束如下：

* 可填写多个，每行一个，以回车间隔。

* 最多可填写 1000 条。

* 没有特殊需求的场景下，建议设置为 `*`，表示允许所有。 | |Expose\-Headers |否 |指定 CORS 响应中携带的补充头域，以给客户端提供额外的信息。约束如下：

* 可填写多个，每行一个，以回车间隔。

* 不允许使用通配符 `*`。 | |缓存 Max\-Age |否 |指定客户端对 OPTIONS 请求返回结果的缓存时间，单位为秒，默认为 3600。 | |返回Vary:Origin |否 |设置是否返回 `Vary:Origin` 响应头。

使用浏览器发送请求时，如果同时存在跨域和非跨域请求，建议启用**返回Vary:Origin**，否则会报错。

注意

启用返回Vary: Origin 后，可能会增加浏览次数或者 CDN 回源次数。

| 5. 单击**确定**。 CORS 规则创建完成后，您可以在 CORS 规则列表中查看已创建的规则。 ## 后续操作 * 编辑 CORS 规则：单击目标规则**操作**列的**编辑**，即可修改 CORS 规则。 * 删除 CORS 规则：单击目标规则**操作**列的**删除**，在弹出的对话框中单击**删除**，即可删除 CORS 规则。