完善注释

web/src/main/resources/config/application.yml

@@ -483,20 +483,20 @@ shiro:
 #  # 是否允许嵌入到外部网站iframe中（true：不限制，false：不允许）
 #  isAllowExternalSiteIframe: true
 #  
-#  # 是否允许跨域访问 CORS，如果允许，设置允许的域名，全部域名设置*号，如果不允许，此设置应该为空
+#  # 是否允许跨域访问 CORS，如果允许，设置允许的域名。当设置'*'号全部域名时，accessControlAllowCredentials应该设置为false。
 ##  accessControlAllowOrigin: http://demo.jeesite.com
 ##  accessControlAllowOrigin: '*'
 #
-# # 允许跨域访问时 CORS，可以使用的方法和标头
-#  accessControlAllowMethods: GET, POST, OPTIONS
-#  accessControlAllowHeaders: Origin, No-Cache, X-Requested-With, If-Modified-Since, Pragma, Last-Modified, Cache-Control, Expires, Content-Type, X-E4M-With
+#  # 允许跨域访问时 CORS，可以使用的方法和标头
+##  accessControlAllowMethods: GET, POST, OPTIONS
+##  accessControlAllowHeaders: Origin, No-Cache, X-Requested-With, If-Modified-Since, Pragma, Last-Modified, Cache-Control, Expires, Content-Type, X-E4M-With
 #
-#  # 是否允许接收跨域的Cookie凭证数据 CORS
-##  accessControlAllowCredentials: true
-#
-#  # 允许的网站来源地址，不设置为全部地址（避免一些跨站点请求伪造 CSRF）
-#  allowReferers: http://127.0.0.1,http://localhost
-#  allowReferers: ~
+#  # 是否允许接收跨域的Cookie凭证数据 CORS，当设置为true时，accessControlAllowOrigin不能设置为'*'。
+##  accessControlAllowCredentials: false
+#  
+#  # 允许的网站来源地址，不设置为全部地址（避免一些跨站点请求伪造 CSRF、防盗链）
+##  allowReferers: http://127.0.0.1,http://localhost
+##  allowReferers: ~
 #
 #  # 是否在登录后生成新的Session（默认false）
 #  isGenerateNewSessionAfterLogin: false