现代浏览器会对 JavaScript 网络请求应用同源安全限制，这意味着从一个来源运行的网络应用无法检索从其他来源提供的数据。对于 VAST，此安全限制可防止 JavaScript VAST 呈现代码发出的 JavaScript XMLHttpRequests 读取从其他来源提供的 VAST 广告响应。
此安全限制旨在防止以下问题：一个来源能够读取用户可能已登录的另一个来源的数据，而未经该用户的许可。这种限制会给在 JavaScript 环境中投放的 VAST 带来问题，因为广告服务器通常与广告播放器位于不同的网域。不过，跨域资源共享 (CORS) 标头是一项 W3C 建议，它允许跨不同来源进行共享，从而规避了这一限制。
CORS 标头
为避免跨源问题，VAST 广告服务器对 SDK 发出的请求的响应必须包含以下 HTTP CORS 标头：
Access-Control-Allow-Origin: <origin header value> Access-Control-Allow-Credentials: true
借助这些标头，任何来源的广告播放器都可以从广告服务器来源读取 VAST 响应。将 Access-Control-Allow-Origin 的值设置为随广告请求发送的 Origin 标头的值，并将 Access-Control-Allow-Credentials 设置为 true，以确保 Cookie 能够正常发送和接收。
如需有关启用 CORS 的更多说明，请参阅启用跨源资源共享。