Access-Control-Expose-Headers
CORSリクエストで取得したResponse Headerは、Client側のJavaScriptからは、規定では以下のものしか触ることができない。
Cache-Control
Content-Language
Content-Type
Expires
Last-Modified
Pragma
これを拡張するためには、Access-Control-Expose-HeadersでClientが触ることのできるHeaderのKey名を返してあげる必要がある。複数のKeyを指定する場合はカンマ区切りでKey名を返せば良い。
Reference