为什么当Access-Control-Allow-Credentials为true时Access-Control-Allow-Origin不能为'*'

Question

正如文档https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS所说：“在响应凭据请求时，服务器必须在Access-Control-Allow-Origin标头的值中指定一个来源，而不是指定“ *”通配符。 '

我想知道为什么会有这样的限制。使用'*'而不是特定值时，看不到更多安全问题。您介意给我看一些具体的例子吗？谢谢