几乎猜对了：

Header add Access-Control-Allow-Origin "*"
Header add Access-Control-Allow-Methods: "GET"

你需要add头文件，而不是set。我还添加了方法来确保。

一些其他网站购买的高级字体可能会被其他网站滥用。这是浏览器级编码复杂化的原因。图像不会遭受这样的问题。字体相关的CORS是复杂的字体类型，浏览器和错误。除非你是使用付费来源拉CDN或已知的字体提供商（免费或付费），它是实用的服务字体从自己的服务器为了确保字体加载在所有浏览器，所有设备.它是值得一读：

1. official W3 doc about CORS，
2. Mozilla doc，
3. MaxCDN's guide，
4. W3's CSS font doc，
5. this old bug report
6. this pull request
   以上资源中有三个选项可以给你一个正确的答案。你需要从不同的用户代理和设备上的webpagetest. org进行测试，并尝试观看截图的视频。
   第一：

SetEnvIf Origin "https?://(.*\.(mozilla|allizom)\.(com|org|net))" CORS=$0
Header set Access-Control-Allow-Origin %{CORS}e env=CORS

<FilesMatch "\.(ttf|woff|eot)$">
    Header append vary "Origin"
    ExpiresActive On
    ExpiresDefault "access plus 1 year"
</FilesMatch>

两个（单域，HTTPS）：

<FilesMatch "\.(ttf|otf|eot|woff)$">
        SetEnvIf Origin "^http(s)?://(.+\.)?anotherwebsite\.com$" AccessControlAllowOrigin=$0
        Header set Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
</FilesMatch>

三个（多个域）：

<FilesMatch "\.(ttf|otf|eot|woff)$">
    <IfModule mod_headers.c>
        SetEnvIf Origin "http(s)?://(www\.)?(anotherwebsite.com|cdn.anotherwebsite.com|blahblah.anotherwebsite.com)$" AccessControlAllowOrigin=$0
        Header add Access-Control-Allow-Origin %{AccessControlAllowOrigin}e env=AccessControlAllowOrigin
    </IfModule>
</FilesMatch>

还要确保存在正确的MIME类型：

AddType application/vnd.ms-fontobject    .eot
AddType application/x-font-opentype      .otf
AddType image/svg+xml                    .svg
AddType application/x-font-ttf           .ttf
AddType application/font-woff            .woff
AddType application/font-woff2           .woff2

请确保在重新启动之前运行Apache configtest。您可能需要激活某些模块。

我不想把答案归功于我，但这对我很有效，这要感谢这个家伙：
https://crunchify.com/how-to-fix-access-control-allow-origin-issue-for-your-https-enabled-wordpress-site-and-maxcdn/

将下列行添加到.htaccess文件并将其放入您的（font）文件夹中：

<ifmodule mod_headers.c="">
   SetEnvIf Origin "^(.*\.domain\.com)$" ORIGIN_SUB_DOMAIN=$1
   Header set Access-Control-Allow-Origin "%{ORIGIN_SUB_DOMAIN}e" env=ORIGIN_SUB_DOMAIN
   Header set Access-Control-Allow-Methods: "*"
   Header set Access-Control-Allow-Headers: "Origin, X-Requested-With, Content-Type, Accept, Authorization"
</ifmodule>