wheelg

看了各位的回答后，我的理解是这样的：

浏览器在设计之初并没有一个很好的身份认证手段，于是采用了 cookie 用作身份认证，为了鉴定用户身份，浏览器不得不每次发送请求时都带上请求网站的 cookie ，因此为了考虑兼容性，不能阻止`a.com`向`b.com`发送请求时带上`b.com`的 cookie 。

所以为了避免恶意网站利用这个 cookie ，对于非同源请求，浏览器选择了先向服务器询问`a.com`是不是可信任的（ OPTIONS 预检），得到确认后才会向服务器发送真正的请求，也就是同源策略。

如今大部分本地应用采用的是 jwt 方式保存登录信息，因此也就避免了浏览器 cookie 的漏洞，所以不需要同源策略，虽然现在的网页也可以使用 jwt 方式认证，但是为了兼容性，浏览器依然需要使用原有的 cookie 发送策略，才会有同源策略这一限制。

那么以后会不会出现某种新的浏览器 API ，使用此 API 时可以抛弃原有的 cookie 策略，允许开发者自由访问其他域名的请求呢？