Note: CORS 是不能直接写多个 Origin 的

关于 CORS 中文零碎的文档搜到还有, 完整的文档只找到英文的, MDN 和 W3C 上
https://developer.mozilla.org/en-US/docs/CSS/Using_CSS_flexible_boxes
http://www.w3.org/TR/cors/

除了以前学到的, 还有两点要注意一下

• Credentials

跨域时默认不携带 cookies 的, 如果需要携带 cookie, 需要在客户端和服务端做处理,
客户端发送请求时 withCredentials 要设置为 true,
服务端 Access-Control-Allow-Credentials 要设置为 true,
而且设置之后 Origin 就不能用通配符了

不过说通配符, 其实也只有一个 * 可以用, 要不就指定域名
http://stackoverflow.com/a/14006226/883571

• Multiple Origins

据说不支持...

no major browser yet supports multiple origins as a value for the Access-Control-Allow-Origin header.
http://dev.opera.com/articles/view/dom-access-control-using-cross-origin-resource-sharing/#ConditionalCORS

具体用法还是看文档和 StackOverflow 上的例子.