AJAX 跨域解决方案

# 前后端分离（ 服务器）

- 前端资源（html）- server-a 提供前端静态资源

- 后端数据（商品信息……）- server-b 提供基于http的api

#同源策略

当我们通过 xhr 的方式从一个源去获取另外一个源的数据的时候，就会触发同源策略的协议

**源**

域：协议+主机（ip、域名）+端口，比如 http://localhost:8888

**同源策略**

**浏览器**的安全设定，避免浏览器中通过脚本等方式去获取非同源的数据

官方文档：https://developer.mozilla.org/zh-CN/docs/Web/HTTP/CORS

这套机制建立在一个核心内容基础之上：**http header**，这套机制定义了一系列的http头，通过这些http头来控制资源的访问。这些http头基本都是以 `access-control-?` 来进行命名的，不同的http头有不同的作用。

#普通资源请求

**[Access-Control-Allow-Origin](https://developer.mozilla.org/zh-CN/docs/Web/HTTP/CORS#access-control-allow-origin)**

控制当前允许访问该资源的源（origin）

# 非普通的资源请求

**简单请求 &非简单请求**

当请求满足一定规则的时候，为简单请求

https://developer.mozilla.org/zh-CN/docs/Web/HTTP/CORS#%E7%AE%80%E5%8D%95%E8%AF%B7%E6%B1%82

**预检请求**

如果当前请求满足了非简单请求，那么就会先发送一个 method 为 options 的请求（浏览器），称为**预检**，后端需要对这个预检请求进行处理，根据业务返回对应的头信息，来告知客户端是否允许发送非简单请求，我们需要在预检请求中返回一系列的头信息，来控制之前发送的非简单请求是否继续

https://developer.mozilla.org/zh-CN/docs/Web/HTTP/CORS#%E9%A2%84%E6%A3%80%E8%AF%B7%E6%B1%82

**附带身份凭证的请求**

cookie 实际也是会受到同源策略的限制的，如果非同源请求，cookie是默认被禁止携带处理的。

解决：

- 客户端在请求中要设置：withCredentials: true

- 服务端要在cors中设置：ctx.set('Access-Control-Allow-Credentials', 'true')

## 利用 koa-server-http-proxy 实现服务端代理

利用 koa-server-http-proxy 来处理正向代理

## 基于jwt鉴权（jsonwebtoken)

**cookie**

使用cookie来实现用户鉴权

- 目前cookie限制太多

- cookie会在一些情况下被禁用

**放置另外一个地方**

- 请求必须是可控的（ajax）

- 基于前后端开发的应用基本都是使用ajax方式进行

**jwt**

https://jwt.io/introduction

问题一：如何解决跨域问题 特别注意两点：

第一，如果是协议和端口造成的跨域问题“前台”是无能为力的，

第二：在跨域问题上，域仅仅是通过“URL的首部”来识别而不会去尝试判断相同的ip地址对应着两个域或两个域是否在同一个ip上。

“URL的首部”指window.location.protocol +window.location.host，也可以理解为“Domains, protocols and ports must match”。

2. 前端解决跨域问题

1>document.domain + iframe (只有在主域相同的时候才能使用该方法)

1) 在a/a中：

复制代码

document.domain = 'a'

var ifr = document.createElement('iframe')

ifr.src = 'script.a/b'

ifr.display = none

document.body.appendChild(ifr)

ifr.onload = function(){

var doc = ifr.contentDocument || ifr.contentWindow.document

在这里 *** 作doc，也就是b

ifr.onload = null

}

复制代码

2) 在script.a/b中：

document.domain = 'a'

2>动态创建script

这个没什么好说的，因为script标签不受同源策略的限制。

复制代码

function loadScript(url, func) {

var head = document.head || document.getElementByTagName('head')[0]

var script = document.createElement('script')

script.src = url

script.onload = script.onreadystatechange = function(){

if(!this.readyState || this.readyState=='loaded' || this.readyState=='plete'){

func()

script.onload = script.onreadystatechange = null

}

}

head.insertBefore(script......>>

问题二：如何解决跨域问题 由 于此前很少写前端的代码(哈哈，不合格的程序员啊)，最近项目中用到json作为系统间交互的手段，自然就伴随着众多ajax请求，随之而来的就是要解决 ajax的跨域问题。本篇将讲述一个小白从遇到跨域不知道是跨域问题，到知道是跨域问题不知道如何解决，再到解决跨域问题，最后找到两种方法解决ajax 跨域问题的全过程。

不知是跨域问题

起 因是这样的，为了复用，减少重复开发，单独开发了一个用户权限管理系统，共其他系统获取认证与授权信息，暂且称之为A系统；调用A系统以B为例。在B系统 中用ajax调用A系统系统的接口(数据格式为json)，当时特别困惑，在A系统中访问相应的url可正常回返json数据，但是在B系统中使用 ajax请求同样的url则一点儿反应都没有，好像什么都没有发生一样。这样反反复复改来改去好久都没能解决，于是求救同事，提醒可能是ajax跨域问 题，于是就将这个问题当做跨域问题来解决了。

知跨域而不知如何解决

知道问题的确切原因，剩下的就是找到解决问题的方法了。google了好久，再次在同事的指点下知道jQuery的ajax有jsonp这样的属性可以用来解决跨域的问题。

找到一种解决方式

现在也知道了怎样来解决跨域问题，余下的就是实现的细节了。实现的过程中错误还是避免不了的。由于不了解json和jsonp两种格式的区别，也犯了错误，google了好久才解决。

首先来看看在页面中如何使用jQuery的ajax解决跨域问题的简单版：

复制代码

$(document).ready(function(){

var url='localhost:8080/...upById

+?id=1&callback=?'

$.ajax({

url:url,

dataType:'jsonp',

processData: false,

type:'get',

success:function(data){

alert(data.name)

},

error:function(XMLHttpRequest, textStatus, errorThrown) {

alert(XMLHttpRequest.status)

alert(XMLHttpRequest.readyState)

alert(textStatus)

}})

})

复制代码

这样写是完全没有问题的，起先error的处理函数中仅仅是alert(“error”)，为了进一步弄清楚是什么原因造成了错误，故将处理函数变 为上面的实现方式。最后一行alert使用为；parsererror。百思不得其解，继续google，最终还是在万能的stackoverflow找 到了答案，链接在这里。原因是jsonp的格式与json格式有着细微的差别，所以在server端的代码上稍稍有所不同。

比较一下json与jsonp格式的区别：

json格式：

{

message&q......>>

问题三：跨域是指什么,因为什么引起的?有哪些解决方案?web前端知识 跨域是指 不同域名之间相互访问 例如 我的电脑上有2个服务器 192.168.0.11 192.168.0.12 如果第一个服务器上的页面要访问第二个服务器 就叫做跨域 或者baidu 要访问xxx 也是不同域名 也是跨域

HTML5 里有个window.postMessage 方法，支持跨域访问，详情可以参考

webhek/window-postmessage-api

如果你的程序在服务器上，也可以进行相应的 *** 作来完成跨域访问

纯手打 有问题欢迎咨询

问题四：如何解决跨域问题 打开IE浏览器，在工具菜单下选择Internet选项，打开Internet选项卡

切换到安全选项卡下，点击可信站点，然后单击站点按钮

可信站点窗口输入网址到可信站点的区域，点击添加按钮，网址则会添加到网站列表下，最后关闭可信站点窗口

还是在安全选项卡下的可信站点，点击自定义级别

打开受信任的站点区域窗口，找到跨域浏览窗口和框架选择启用

在当前窗口中继续往下翻，通过域访问数据源也选择启用，点击确定关闭受信任的站点区域窗口

在Internet窗口也点击确定按钮，同时关闭浏览器

在请求的js脚本中添加是否允许跨域访问的权限，jQuery.support.cors默认值为true，则代表允许；反之，不允许。设置完成，重新打开浏览器验证即可

问题五：$跨域请求怎么解决 post请求进行跨域

angularjs内置封装了类ajax的网络服务$,所以实现了依赖外部插件来完成完整的前后端分离方案

$scope.main = {

getData: function () {

$({

method: 'POST',

url: 'localhost:8000',

headers: {

'Content-Type' : 'application/x--form-urlencoded'

},

data: {

myUrl: 'c.m.163/...0'

}

}).then(function success(result) {

数据请求成功

console.log(result.data)

},function error(err) {

数据请求失败

console.log(err)

})

}

}

注意：表面上是向$中传入了一个回调函数提供相应时调用，实际是返回了一个promise对象，angular1.2以上的版本对$进行了优化

优化后：

$scope.main = {

getData: function () {

var myUrl = 'c.m.163/...0'

var url = 'localhost:8000'

var promise = $({

method: 'POST',

url: url,

headers: {

'Content-Type' : 'text/plain'

......>>

问题六：如何解决跨域问题 关于跨域名问题还是问题么，这方面的解决实践非常多，今天我就旧话重提把我所知道的通过几个应用场景来分别总结一下（转帖请注明出处：blog.csdn/lenel）

先说明一点：我说的某某域名在您的控制下的意思是这个域名下的网页由您来负责开发内部的JavaScript

场景一：将bbs.xxx的页面用iframe嵌入到xxx的中，如何在iframe内外使用js通信（转帖请注明出处：blog.csdn/lenel）

一级域名都是xxx 这个域名一定是在您的控制下，所以你只要在两个页面中同时升级域名即可

在父窗口和iframe内部分别加上js语句：document.domain=xxx

之后2个页面就等于在同一域名下，通过window.parent oIframe.contentDocument就可以相互访问，进行无障碍的JS通信

在新浪、淘宝等很多页面都能找到这样的语句。不过document.domain不可以随便指定，只能向上升级，从bbs.xxx升级到yyy肯定会出错

场景二：将yyy的页面用iframe嵌入到xxx的中，两个域名都在您的控制下，如何在iframe内外进行一定的数据交流（转帖请注明出处：blog.csdn/lenel）

你可以通过相互改变hash值的方式来进行一些数据的通信

这里的实现基于如下技术要点：

1、父窗口通过改变子窗口的src中的hash值把一部分信息传入，如果src只有hash部分改变，那么子窗口是不会重新载入的。

2、

子窗口可以重写父窗口的location.href，但是注意这里子窗口无法读取而只能重写location.href所以要求前提是您控制两个域名，知

道当前父窗口的location.href是什么并写在子窗口内，这样通过parent.location.href =

已知的父窗口的href+#+hash。这样父窗口只有hash改变也不会重载。

3、上面两步分别做到了两个窗口之间的无刷新数据通知，

那么下面的来说如何感知数据变化。标准中没有相关规定，所以当前的任意浏览器遇到location.hash变化都不会触发任何javaScript事

......>>

问题七：如何解决javascript的跨域问题 一般是用iframe设置

document.domain = 'a'var ifr = document.createElement('iframe')ifr.src = 'a/index'ifr.style.display = 'none'document.body.appendChild(ifr)ifr.onload = function(){ var doc = ifr.contentDocument || ifr.contentWindow.documentconsole.log(doc.documentElement.innetHTML)}然后HTML5新特性有 ,postMessage

function Init () { if (window.addEventListener) { all browsers except IE before version 9 window.addEventListener (message, OnMessage, false)} else { if (window.attachEvent) { IE before version 9 window.attachEvent(onmessage, OnMessage)} } } function GetState () { var frame = document.getElementById (myFrame)var message = getstate参数if (frame.contentWindow.postMessage) { 传递的参数，后面是传递的你的跨域域名frame.contentWindow.postMessage (message, *)} } function OnMessage (event) { console.log(event.data)} document.body.onload=function(){Init()GetState()}

问题八：如何解决跨域问题 VPN或者域名

问题九：如何解决请求跨域的问题 jsonp 是写 script 标签，只能满足 get 请求。跨域 post 的话，IE8 及以上和其他主流浏览器可以用 window.postMessage 来实现，也就是传说中的 HTML5 方法了，可以看下标准，代码很简单。IE6、7 就用老式的方法

问题十：怎么解决服务器间的跨域问题 服务端的解决方案的基本原理就是，由客户端将请求发给本域服务器，再由本域服务器的代理来请求数据并将响应返回给客户端。

最常用的服务器解决方案就是利用web服务器本身提供的proxy功能，如apache和ligd的mod_proxy模块。在百度内 部，tran *** it的分流功能也可以解决部分跨域问题。但这些方法都有一定的局限性，鉴于安全性等问题的考虑，space这边最后开发了一个专门用于处

理跨域请求代理服务的spproxy模块，用于彻底解决js跨域问题。

下面我们将以空间的开放平台为例，简单介绍下如何通过apache的mod_proxy、tran *** it的分流以及space的spproxy模块来解

决该跨域问题，并简单介绍下spproxy的一些特性、缺点及下一步的改进计划。

空间在展现每个UWA开放模块之前都必须请求该模块的xml源代码以进行解析，每个模块的源代码文件都是存放在act域下的/ow/uwa目录下，那么在

用户空间首页（hi域）中请求该xml文件时就会存在js跨域问题。要解决该问题，只能让js向hi域的web服务器请求xml文件，而hi域web服务

器则通过一定的代理机制（如mod_proxy、tran *** it分流、spproxy）向act域的web服务器请求文件

问题一：跨域是指什么,因为什么引起的?有哪些解决方案?web前端知识 跨域是指 不同域名之间相互访问 例如 我的电脑上有2个服务器 192.168.0.11 192.168.0.12 如果第一个服务器上的页面要访问第二个服务器 就叫做跨域 或者baidu 要访问xxx 也是不同域名 也是跨域

HTML5 里有个window.postMessage 方法，支持跨域访问，详情可以参考

webhek/window-postmessage-api

如果你的程序在服务器上，也可以进行相应的 *** 作来完成跨域访问

纯手打 有问题欢迎咨询

问题二：ajax跨域和不跨域有什么区别 跨域的优势是能充分利用分布式集群系统，使某些服务压力可以分散到多台服务器上。但数据交互的安全性上有一定影响。

不跨域的优势是前台页面和后台服务都在一个服务器下，安全性高，但但不能分摊负载。

目前计算机行业正在向高集成，多并发，低耦合的方向发展。

所有基础服务以接口的方式提供是很好的一种方案（像百度地图，微信，支付宝都有服务接口），基础服务和中间件之间的交互也可能采用服务调用的方式，这些问题就牵扯到跨域，处理好跨域和安全的平衡点是这类集成系统的需要重点权衡的方面之一。

问题三：网页中跨域什么意思 简单比喻一下就是跨了两个域名，比如腾讯域名下的网页 去访问 百度下的网页了 ，跨域访问

问题四：什么是跨域访问 跨域访问就是你在一个域环境下阀访问另一个域的内容。

跨域访问前提是彼此相互信任，不然是没法访问的。

问题五：ajax跨域到底是什么意思？能否举个简单例子说明一下？ Ajax请求一个目标地址为非本域（协议、域名、端口任意一个不同）的web资源，并根据响应获得外部应用数据。比如我们用Ajax访问城市天气预报、IP地址等公共服务接口时，就涉及跨域了。我们请求一个外部服务时，浏览器会基于安全问题拒绝授权访问。而script、script、iframe标签的src属性就不存在跨域的问题，所以Ajax跨域就是利用这一点以及js对JSON的支持，外部服务只要给Ajax的请求响应一段JS代码或JSON数据，就能被Ajax获取到。

比如jquery的getScript

$.getScript(pv.sohu/cityjson,function(){前面加上 这个服务给响应的js代码为 returnCitySN = {cid: 110000, cip: 124.xxx.22.xxx, ame: 北京市} 回调函数执行前，外部服务给响应的js代码已被加载到本地，所以可以直接使用。 console.log(cid : + returnCitySN.cid)console.log(cip : + returnCitySN.cip)console.log(ame : + returnCitySName)})

问题六：为什么有人说ajax不能跨域是什么意思 不是可以通过ajax跨域访问吗 嗯，就是说啊，ajax只能在自己的域下访问，比如在腾讯里面写的AJAX 是不能去访问百度里面的东西的，这就是跨域的！使用AJAX是需要服务器环境的，目前只有火狐浏览器不需要搭建环境，即可直接使用AJAX *** 作！

问题七：什么叫做跨域访问，求大神解答 如果在A网站中，我们希望使用Ajax来获得B网站中的特定内容

如果A网站与B网站不在同一个域中，那么就出现了跨域访问问题

Ajax的跨域访问问题是现有的Ajax开发人员比较常遇到的问题

一般都会用jsoncallback方法来解决

你可以理解为两个域名之间不能跨过域名来发送请求或者请求数据，否则就是不安全的

希望能帮助到你

问题八：js中domain跨域是什么意思 你可以参考cors机制，还有p3p协议。具体什么内容和代码过程我忘了，如果你需要具体过程，请追问，我帮你查查书。

问题九：什么是JS跨域访问 ajax或者iframe指向的地址中，二级域名、端口、协议必须与主页面完全相同，否则就算跨域

比如

a.baidu访问b.baidu 是跨域；

a.baidu:8080访问a.baidu:80 是跨域；

a.baidu访问a.baidu 是跨域

ajax跨域，两种办法：后端写个代理接口，让后端去抓数据；或者与对方合作，用jsonp等方式传送数据

iframe跨域问题有点多，必须要得到iframe内部页面的配合才可能通信，方法也比较多：

1，假写hash值通信，父子页面各自建立轮询去检测iframe中url的hash值，通过值来通信

2，利用HTML5的postMessage，不过注意这个也是异步的

3，利用IE6\7中对navigator的bug，我前同事发现的，在ie6/7中，父子页面使用的window.navigator是同一个东西，父页面改了，子页面也会跟着变；

4，iframe中嵌套一层与顶层页面同域的页面，比如a中套b，b中套c，其中a、c同域，b做出改变后通过url给c传值，c中 *** 作top对象也就是a，由于同域，所以不会有问题

问题十：javascript开发中jsonp跨域请求是什么意思？什么叫跨域？为什么用jsonp？ 跨域是JavaScript出于安全方面的考虑，不允许浏览器在当前访问的域名的页面中的javascript的调用其他域名页面中的对象。

跨域请求就是为了解决禁止跨域访问的问题。

用jsonp的原因是json是javascript中的对象，而跨域访问中有图片、css、javascript脚本文件等是不限制，因此你可以在页面渲染时动态在标签设置src路径，而这个路径返 *** 来的就是json对象。

---