Совместное использование ресурсов между источниками и учетными данными

У меня есть общая форма аутентификации для нескольких поддоменов (example.com, blog.example.com и app.example.com). Форма входа в систему должна отправлять эти данные на example.com независимо от того, где они отображаются, поэтому я подумал об использовании CORS, но это:

header("Access-Control-Allow-Origin: http://example.com http://blog.example.com http://app.example.com")

не работает

Поэтому я подумал о том, чтобы сделать следующее и проверить источник вручную на стороне сервера и разрешив Access-Control-Allow-Origin: * , чтобы запросы могли выполняться, но, к сожалению, это появляется в MDN

. Важное примечание: когда отвечая на запрос с учетными данными, сервер должен указать домен и не может использовать подстановочные знаки.

Есть ли способ заставить мой запрос работать в нескольких доменах и по-прежнему отправлять учетные данные с помощью CORS?