把三个问题分开回答

请求发出、Cookie 携带、脚本读取，不是一回事

很多跨源判断之所以绕，是因为把三道门混成了一道。调整下面的浏览器情景，实验台只做规则推演，不会向任何地址发出真实请求。