１）クロスサイトHTTPリクエスト、サーバー側の対処なし
　
①サンプルコードの概要
　
・オリジナルのURL
http://192.168.1.2/ng/online/admin1.html
　
・オリジナルのリソースからのHTTPリクエスト（クロスドメインHTTPリクエスト）
$http.post(“http://localhost/ng/online/php/login1.php”, postData)
　
②結果
　
このサンプルコードでは、application/x-www-form-urlencoded、multipart/form-data、またはtext/plain以外のContent-TypeとともにPOST通信をクロスサイトに対して行っているので、HTTPのoptionsメソッドによる”プリフライト”リクエストを行う。
　
“プリフライト”リクエストは、始めに実際のリクエストを送信しても安全かを確かめるために他ドメインのリソースへ向けてHTTPのOPTIONSリクエストヘッダを送信する。
　
（HTTPリクエストヘッダー抜粋）
OPTIONS /ng/online/php/login1.php HTTP/1.1
Host: localhost
　　：
Origin: http://192.168.1.2
Access-Control-Request-Method: POST
Access-Control-Request-Headers: content-type
　　：
サーバー側でこのOriginのメソッドやヘッダーを許可する設定を行っていないので、POSTデータを送信しない。
　
２）クロスサイトHTTPリクエストをサーバー側で許可した場合
　
①サンプルコードの概要
　
・クライアント側）
上記と同じ
　
・サーバー側、PHP）

if($_SERVER['HTTP_ORIGIN'] == "http://192.168.1.2") {
  header('Access-Control-Allow-Origin: http://192.168.1.2');
  header('Access-Control-Allow-Methods: POST, GET, OPTIONS');
  header('Access-Control-Allow-Headers: Content-Type');
}

Originが”http://192.168.1.2″の場合は、クロスサイトリクエストを許可するために、Originやメソッド、Content-Typeをレスポンスヘッダーに指定して”プリフライト”に対して応答する。
　
②結果
　
プリライトリクエストに対して、下記のように許可する応答が返り、その後POST通信が行われる。
　
（HTTPレスポンスヘッダー抜粋）
HTTP/1.1 200 OK
　　：
Access-Control-Allow-Origin: http://192.168.1.2
Access-Control-Allow-Methods: POST, GET, OPTIONS
Access-Control-Allow-Headers: Content-Type
Access-Control-Allow-Credentials: true
　
３）クッキーなどクレデンシャルを含むリクエストの場合
　
・クロスサイトリクエストの場合、デフォルトではクッキー情報などクレデンシャルは送信されない。
　
・クレデンシャルを送信したい場合は、クライアント側でwithCredentialsのフラグをONにして送信する必要がある。
　
・ブラウザは、上記HTTPリクエストに対するレスポンスに”Access-Control-Allow-Credentials: true”が設定されていない場合は、レスポンスを拒否する。
　
つまり、クライアントとサーバーの両方でCredentialsのフラグをONにする必要がある。
　
●検証に使ったサンプルコード抜粋

（AngularJS）
var myApp = angular.module('onlineStoreAdmin', ['ngRoute','ngCookies']);

myApp.controller('loginCtrl', function ($scope,$http,$location,loginUrl,$cookieStore) {
  $cookieStore.put("name","my name");
　　　：
    $http.post("http://localhost/ng/online/php/login1.php", postData, {withCredentials: true})

（サーバー側 PHP）
if($_SERVER['HTTP_ORIGIN'] == "http://192.168.1.2") {
  header('Access-Control-Allow-Origin: http://192.168.1.2');
  header('Access-Control-Allow-Methods: POST, GET, OPTIONS');
  header('Access-Control-Allow-Headers: Content-Type');
  header('Access-Control-Allow-Credentials: true');
}

上記のようにクライアントとサーバー側の両方でCredentialsのフラグをOnにするとクロスサイトにクッキーを送信する事が出来る。
　
参考サイト
HTTP access control (CORS) | MDN
Server-Side Access Control – HTTP | MDN