add allow-cors option