如果我理解正确，您正在对与您的页面所在的域不同的域执行XMLHttpRequest。因此浏览器会阻止它，因为出于安全原因，它通常允许来自同一来源的请求。当您想要进行跨域请求时，您需要做一些不同的事情。关于如何实现这一点的教程是Using CORS。

当您使用 Postman 时，他们不受此政策的限制。引自Cross-Origin XMLHttpRequest：

常规网页可以使用 XMLHttpRequest 对象从远程服务器发送和接收数据，但它们受到同源策略的限制。扩展没有那么有限。扩展可以与其源之外的远程服务器通信，只要它首先请求跨源权限。

警告：使用Access-Control-Allow-Origin: *会使您的 API/网站容易受到跨站请求伪造(CSRF) 攻击。在使用此代码之前，请确保您了解风险。

如果您使用的是PHP则很容易解决。只需在处理请求的 PHP 页面的开头添加以下脚本：

<?php header('Access-Control-Allow-Origin: *'); ?>

如果您正在使用节点红色的，你必须让CORS中node-red/settings.js被取消注释以下行文件：

// The following property can be used to configure cross-origin resource sharing
// in the HTTP nodes.
// See https://github.com/troygoode/node-cors#configuration-options for
// details on its contents. The following is a basic permissive set of options:
httpNodeCors: {
 origin: "*",
 methods: "GET,PUT,POST,DELETE"
},

如果您使用与问题相同的Flask；你必须先安装flask-cors

$ pip install -U flask-cors

然后在您的应用程序中包含 Flask cors。

from flask_cors import CORS

一个简单的应用程序将如下所示：

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app)

@app.route("/")
def helloWorld():
  return "Hello, cross-origin-world!"

有关更多详细信息，您可以查看Flask 文档。

因为
$.ajax({type: "POST" - 调用OPTIONS
$.post( - 调用POST

两者都是不同的。邮递员正确地调用“POST”，但是当我们调用它时，它将是“OPTIONS”。

对于 C# Web 服务 - Web API

请在 <system.webServer> 标签下的web.config文件中添加以下代码。这将起作用：

<httpProtocol>
    <customHeaders>
        <add name="Access-Control-Allow-Origin" value="*" />
    </customHeaders>
</httpProtocol>

请确保您在 Ajax 调用中没有犯任何错误

jQuery

$.ajax({
    url: 'http://mysite.microsoft.sample.xyz.com/api/mycall',
    headers: {
        'Content-Type': 'application/x-www-form-urlencoded'
    },
    type: "POST", /* or type:"GET" or type:"PUT" */
    dataType: "json",
    data: {
    },
    success: function (result) {
        console.log(result);
    },
    error: function () {
        console.log("error");
    }
});

注意：如果您正在寻找从第三方网站下载内容，那么这对您没有帮助。您可以尝试以下代码，但不能尝试 JavaScript。

System.Net.WebClient wc = new System.Net.WebClient();
string str = wc.DownloadString("http://mysite.microsoft.sample.xyz.com/api/mycall");

在下面作为 API 的调查中，我使用http://example.com而不是您问题中的http://myApiUrl/login，因为第一个工作正常。

我假设您的页面位于http://my-site.local:8088 上。

你看到不同结果的原因是邮递员：

• 设置标头Host=example.com（您的 API）
• 未设置标题 Origin

这类似于当站点和 API 具有相同域时浏览器发送请求的方式（浏览器也设置了标头项Referer=http://my-site.local:8088，但我在 Postman 中没有看到）。当没有设置Originheader 时，通常服务器默认允许这样的请求。

这是 Postman 发送请求的标准方式。但是当您的站点和 API 具有不同的域时，浏览器会发送不同的请求，然后发生CORS并且浏览器会自动：

• 设置标头Host=example.com（你的 API）
• 设置标题Origin=http://my-site.local:8088（您的网站）

（标头与Referer具有相同的值Origin）。现在在 Chrome 的控制台和网络选项卡中，您将看到：

当你有Host != Origin这个 CORS 时，当服务器检测到这样的请求时，它通常默认阻止它。

Origin=null当您从本地目录打开 HTML 内容时设置，并发送请求。同样的情况是，当你发送一个请求内的<iframe>在下面的代码片段（但这里的，像Host头根本没有设置） -一般，到处都是HTML规范说不透明的起源，可以把这一对Origin=null。您可以在此处找到有关此的更多信息。

fetch('http://example.com/api', {method: 'POST'});

Look on chrome-console > network tab

如果您不使用简单的 CORS 请求，通常浏览器还会在发送主要请求之前自动发送一个 OPTIONS 请求——更多信息在此处。下面的片段显示了它：

fetch('http://example.com/api', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json'}
});

Look in chrome-console -> network tab to 'api' request.
This is the OPTIONS request (the server does not allow sending a POST request)

您可以更改服务器的配置以允许 CORS 请求。

这是一个示例配置，它在 nginx（nginx.conf 文件）上打开CORS - 在设置always/"$http_origin"nginx 和"*"Apache 时要非常小心- 这将解除对任何域的 CORS 的阻止。

location ~ ^/index\.php(/|$) {
   ...
    add_header 'Access-Control-Allow-Origin' "$http_origin" always;
    add_header 'Access-Control-Allow-Credentials' 'true' always;
    if ($request_method = OPTIONS) {
        add_header 'Access-Control-Allow-Origin' "$http_origin"; # DO NOT remove THIS LINES (doubled with outside 'if' above)
        add_header 'Access-Control-Allow-Credentials' 'true';
        add_header 'Access-Control-Max-Age' 1728000; # cache preflight value for 20 days
        add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
        add_header 'Access-Control-Allow-Headers' 'My-First-Header,My-Second-Header,Authorization,Content-Type,Accept,Origin';
        add_header 'Content-Length' 0;
        add_header 'Content-Type' 'text/plain charset=UTF-8';
        return 204;
    }
}

这是在 Apache 上打开CORS的示例配置（.htaccess 文件）

# ------------------------------------------------------------------------------
# | Cross-domain Ajax requests                                                 |
# ------------------------------------------------------------------------------

# Enable cross-origin Ajax requests.
# http://code.google.com/p/html5security/wiki/CrossOriginRequestSecurity
# http://enable-cors.org/

# <IfModule mod_headers.c>
#    Header set Access-Control-Allow-Origin "*"
# </IfModule>

# Header set Header set Access-Control-Allow-Origin "*"
# Header always set Access-Control-Allow-Credentials "true"

Access-Control-Allow-Origin "http://your-page.com:80"
Header always set Access-Control-Allow-Methods "POST, GET, OPTIONS, DELETE, PUT"
Header always set Access-Control-Allow-Headers "My-First-Header,My-Second-Header,Authorization, content-type, csrf-token"

应用 CORS 限制是由服务器定义并由浏览器实现的安全功能。

浏览器查看服务器的 CORS 策略并遵守它。

但是，Postman 工具并不关心服务器的 CORS 策略。

这就是为什么 CORS 错误出现在浏览器中，而不是 Postman 中的原因。