把这个放在retrieve.php的顶部：

header('Access-Control-Allow-Origin: *');

请注意，这实际上禁用了CORS保护，并使您的用户暴露在攻击之下。如果您不完全确定是否需要允许 * 所有 * 来源，则应将其锁定到更具体的来源：

header('Access-Control-Allow-Origin: https://www.example.com');

请参阅以下堆栈答案，以更好地理解Access-Control-Allow-Origin
https://stackoverflow.com/a/10636765/413670

警告，Chrome（和其他浏览器）将抱怨如果您遵循其他一些答案设置了多个ACAO头。

错误将类似于**XMLHttpRequest cannot load ____. The 'Access-Control-Allow-Origin' header contains multiple values '____, ____, ____', but only one is allowed. Origin '____' is therefore not allowed access.**
试试这个：

$http_origin = $_SERVER['HTTP_ORIGIN'];

$allowed_domains = array(
  'http://domain1.com',
  'http://domain2.com',
);

if (in_array($http_origin, $allowed_domains))
{  
    header("Access-Control-Allow-Origin: $http_origin");
}

我已经修复了调用MVC 3控制器时的问题。我添加了：

Response.AddHeader("Access-Control-Allow-Origin", "*");

在我

return Json(model, JsonRequestBehavior.AllowGet);

我的$.ajax也抱怨它不接受 AJAX 调用中的Content-type头，所以我注解掉了它，因为我知道它的JSON被传递给了Action。
希望能有所帮助。

使用*是一个非常糟糕的主意，它会让你对跨站点脚本敞开大门。你基本上希望你自己的域一直在你当前的SSL设置范围内，并且可以选择额外的域。你还希望它们都作为一个标头发送。下面的代码将总是在与当前页面相同的SSL范围内授权你自己的域。并且可以选择性地包括任意数量的附加域。它会将它们作为一个报头发送，并且如果其他东西已经发送了它们，则覆盖前面的一个（或多个），以避免浏览器抱怨发送了多个访问控制报头的任何机会。

class CorsAccessControl
{
    private $allowed = array();

    /**
     * Always adds your own domain with the current ssl settings.
     */
    public function __construct()
    {
        // Add your own domain, with respect to the current SSL settings.
        $this->allowed[] = 'http'
            . ( ( array_key_exists( 'HTTPS', $_SERVER )
                && $_SERVER['HTTPS'] 
                && strtolower( $_SERVER['HTTPS'] ) !== 'off' ) 
                    ? 's' 
                    : null )
            . '://' . $_SERVER['HTTP_HOST'];
    }

    /**
     * Optionally add additional domains. Each is only added one time.
     */
    public function add($domain)
    {
        if ( !in_array( $domain, $this->allowed )
        {
            $this->allowed[] = $domain;
        }
    /**
     * Send 'em all as one header so no browsers grumble about it.
     */
    public function send()
    {
        $domains = implode( ', ', $this->allowed );
        header( 'Access-Control-Allow-Origin: ' . $domains, true ); // We want to send them all as one shot, so replace should be true here.
    }
}

用法：

$cors = new CorsAccessControl();

// If you are only authorizing your own domain:
$cors->send();

// If you are authorizing multiple domains:
foreach ($domains as $domain)
{
    $cors->add($domain);
}
$cors->send();

你懂的。

您是否尝试过将Access-Control-Allow-Origin报头添加到从服务器发送的响应中？例如Access-Control-Allow-Origin: *？