在 Heroku 上用 node 写了个重现。

看整个请求的过程，请打开浏览器的调试工具，看网络请求的日志。

先看一下我的截图：

首先使用 Ajax 发送了一个跨域请求，该跨源请求重定向到同源请求。

此时浏览器自动请求重定向后的同源请求，该请求自动附加了 Origin: null 头。

在 StackOverflow 上有该现象的讨论，还没细看。现在基本可以确定该现象属于 HTTP 协议的正常规定。