最后解决的办法:
1.前端:{withCredentials: true}
2.后端:
1.直接使用*来匹配所有域名只能适用于无需使用cookie的场景
2.可以将origin的*替换为允许请求的正则表达式
3.可以加入一个list列表,代表请求白名单