PROSAGA码农传奇-数据访问控制-CORS：当凭据标志为true时，不能在Access-Control-Allow-Origin中使用通配符

我有一个涉及的设置前端服务器（Node.js，域：localhost：3000）<—>后端（Django，Ajax，域：localhost：8000）浏览器<-webapp <-Node.js（为应用提供服务）浏览器（webapp）-> Ajax-> Django（服务ajax POST请求）现在，我的问题是CORS设置，Web应用程序使用它来对后端服务器进行Ajax调用。在Chrome中，我不断当凭据标志为true时，不能在Access-Control-Allow-Origin中使用通配符。在Firefox上也不起作用。我的Node.js设置是：
<pre><code>var allowCrossDomain = function(req, res, next) {
 res.header('Access-Control-Allow-Origin', 'http://localhost:8000/');
 res.header('Access-Control-Allow-Credentials', true);
 res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE');
 res.header("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept");
 next();
};
</code></pre>而在Django我使用这个中间件 与此相伴Webapp这样发出请求：
<pre><code>$.ajax({
 type: "POST",
 url: 'http://localhost:8000/blah',
 data: {},
 xhrFields: {
 withCredentials: true
 },
 crossDomain: true,
 dataType: 'json',
 success: successHandler
});
</code></pre>因此，webapp发送的请求标头如下所示：
<pre><code>Access-Control-Allow-Credentials: true
Access-Control-Allow-Headers: "Origin, X-Requested-With, Content-Type, Accept"
Access-Control-Allow-Methods: 'GET,PUT,POST,DELETE'
Content-Type: application/json 
Accept: */*
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8
Cookie: csrftoken=***; sessionid="***"
</code></pre>这是响应头：
<pre><code>Access-Control-Allow-Headers: Content-Type,*
Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: *
Access-Control-Allow-Methods: POST,GET,OPTIONS,PUT,DELETE
Content-Type: application/json
</code></pre>我要去哪里错了？编辑1：我一直在使用chrome –disable-web-security，但是现在希望事情能够实际进行。编辑2：答案：因此，为我解决的django-cors-headers配置：
<pre><code>CORS_ORIGIN_ALLOW_ALL = False
CORS_ALLOW_CREDENTIALS = True
CORS_ORIGIN_WHITELIST = (
 'http://localhost:3000' # Here was the problem indeed and it has to be http://localhost:3000, not http://localhost:3000/
)
</code></pre>