跨域

2017-08-01 本文已影响10人来人啊都给朕退下吧

什么是同源策略

浏览器出于安全方面的考虑，只允许与本域下的接口交互。不同源的客户端脚本在没有明确授权的情况下，不能读写对方的资源。
同源指的是一样的协议，一样的域名，一样的端口访问，3者要是有一个是不一样的，http请求就是跨域请求。

什么是跨域？跨域有几种实现形式

因为浏览器的同源策略限制，不允许不同源下的对象互相操作。去访问不同域的对象相互操作的就叫跨域。

JSONP：利用script的src标签的跨域属性，传递一个callback参数给服务端来获取其他源的数据
CORS ：在第三方服务器端增加代码，返回头部设置Access-Control-Allow-Origin设置成指定的访问地址。

res.header("Access-Control-Allow-Origin", "http://a.jirengu.com:8080"); 
//res.header("Access-Control-Allow-Origin", "*");

降域：浏览器想要操作iframe标签中引入的网站，但是URL和本页面的URL不同，二级域名相同，以如下情况所示

http://a.xiexuan.com:8080/b.html
http://b.xiexuan.com:8080/a.html
document.domain = 'xiexuan.com' //便通过降域的方式使两个网站可以实现跨域

postMessage : 对不同域下的URL发送数据，如果对方接受数据，就可以使用，如果对方没有监控该数据，就无用。使用window.postMessage(值,传递的地址) 方法进行跨域通信。

JSONP 的原理是什么

利用<script>标签没有跨域限制的特性，比如引入线上的jquery库（其他域下的js），来达到与第三方通讯的目的。
在本页面中创建script标签，src的地址执行后端接口，最后加个参数callback=接口函数名；（由此约定函数名）

<script src="http://www.weather.com.cn?city=hangzhou&callback=showWeather"></script>

接口函数的名字和对数据的操作需要自己声明和定义

    <script>
        function showWeather(json){
        }
    </script>

CORS是什么

CORS 全称是跨域资源共享（Cross-Origin Resource Sharing），是一种 ajax 跨域请求资源的方式

当你使用 XMLHttpRequest 发送请求时，浏览器发现该请求不符合同源策略，会给该请求加一个请求头：Origin，后台进行一系列处理，如果服务器端确定接受请求，则在返回结果中加入一个响应头：Access-Control-Allow-Origin。浏览器判断该相应头中是否包含 Origin 的值，如果有则浏览器会处理响应，我们就可以拿到响应数据，如果不包含浏览器直接驳回，这时我们无法拿到响应数据。所以 CORS 的表象是让你觉得它与同源的 ajax 请求没啥区别，代码完全一样.

在服务器增加代码

res.header("Access-Control-Allow-Origin", "http://a.xiexuan.com:8080"); 
//res.header("Access-Control-Allow-Origin", "*"); // *表示服务器允许所有的跨域请求。

Examples

jsonp实现

cors实现

降域实现

postMessage实现

跨域