跨域

题目1: 什么是同源策略

同源策略(Same origin Policy)
浏览器出于安全方面的考虑,只允许与本域下的接口交互。不同源的客户端脚本在没有明确授权的情况下,不能读写对方的资源。

本域指的是:

如:

不同源的例子:

题目2: 什么是跨域?跨域有几种实现形式

概念:只要协议、域名、端口有任何一个不同,都被当作是不同的域。
跨域是指从一个域名的网页去请求另一个域名的资源。


跨域的几种方法

  • JSONP
    html中script标签可以引入其他域下的js,比如引入线上的jquery库。利用这个特性,可实现跨域访问接口。需要后端支持
    echo $cb . '&&' . $cb . '(' . json_encode($ret) . ')';
    定义数据处理函数_fun
    创建script标签,src的地址执行后端接口,最后加个参数callback=_fun
    服务端在收到请求后,解析参数,计算返还数据,输出 fun(data) 字符串。
    fun(data)会放到script标签做为js执行。此时会调用fun函数,将data做为参数。

  • CORS
    CORS 全称是跨域资源共享(Cross-Origin Resource Sharing),是一种 ajax 跨域请求资源的方式,支持现代浏览器,IE支持10以上。 实现方式很简单,当你使用 XMLHttpRequest 发送请求时,浏览器发现该请求不符合同源策略,会给该请求加一个请求头:Origin,后台进行一系列处理,如果确定接受请求则在返回结果中加入一个响应头:Access-Control-Allow-Origin; 浏览器判断该相应头中是否包含 Origin 的值,如果有则浏览器会处理响应,我们就可以拿到响应数据,如果不包含浏览器直接驳回,这时我们无法拿到响应数据。所以 CORS 的表象是让你觉得它与同源的 ajax 请求没啥区别,代码完全一样

  • 降域

    • 比如把child.a.com和a.com和xxx.child.a.com都可以降域为a.com
    • 实现的话需要在两个需要进行跨域的网站script都写document.domain = 'a.com'进行降域
    • 其中ajax不受降域的影响,得用iframe在页面中引用另一个页面的这种方式
    • 域名只能往下设置。比如xxx.child.a.com只能往下变成chlid.a.com或者再往下变成a.com。但是如果到了a.com就不能再回去到child.a.com、xxx.child.a.com
    • 降域有安全性的问题,如果一个子域名被攻击,多个被降域的域名都会被连带。
  • postMessage
    对窗口对象的 onmessage 事件进行监听,其它窗口可以通过 postMessage 方法来传递数据。postMessage方法使用两个参数:第一个参数为所发送的消息文本,但也可以是任何 JavaScript 对象(通过 JSON 转换对象为文本),第二个参数为接收消息的对象窗口的 URL 地址,可以在 URL 地址字符串中使用通配符'*'指定全部地。

题目3: JSONP 的原理是什么

<script>标签是不受同源策略的限制的,它可以载入任意地方的 JavaScript 文件,而并不要求同源。

所以 JSONP 的理念就是,我和服务端约定好一个函数名,当我请求文件的时候,服务端返回一段 JavaScript。这段 JavaScript 调用了我们约定好的函数,并且将数据当做参数传入。

非常巧合的一点(其实并不是),JSON 的数据格式和 JavaScript 语言里对象的格式正好相同。所以在我们约定的函数里面可以直接使用这个对象。

例子:

<script>
    function getWeather(data) {
        console.log(data);
    }
</script>

<script src="http://x.y.com/xx.js">

http://x.y.com/xx.js文件内容:

getWeather({
    "城市": "北京",
    "天气": "大雾"
});

在我们定义了 getWeather(data)这个函数后,直接载入了 xx.js。
在这个脚本中,执行了 getWeather 函数,并传入了一个对象。然后我们在这个函数中将这个对象输出到 console 中。

这就是整个 JSONP 的流程。

题目4: CORS是什么

CORS是一个W3C标准,全称是"跨域资源共享"(Cross-origin resource sharing)。
它允许浏览器向跨源服务器,发出XMLHttpRequest请求,从而克服了AJAX只能同源使用的限制。

服务器 在响应头中设置相应的选项,浏览器如果支持这种方法的话就会将这种跨站资源请求视为合法,进而获取资源。

设置的响应头信息:
Access-Control-Allow-Origin

  Access-Control-Allow-Origin: <origin> | *

origin: 被允许跨域访问这个资源的网站,* 代表全部网站。浏览器会检测这个参数,如果符合要求,才会去获取资源。

题目5: 根据视频里的讲解演示三种以上跨域的解决方式 ,写成博客

博客 - 链接

推荐阅读更多精彩内容