js中跨域的方法-js教程-PHP中文網

同源策略" >同源策略

Cookie、LocalStorage和IndexDB無法讀取" >Cookie、LocalStorage和IndexDB無法讀取

window.postMessage" >window.postMessage

AJAX" >AJAX

JSONP" >JSONP

WebSocket" >WebSocket

CORS" >CORS

简单请求" >简单请求

非简单请求" >非简单请求

首頁

web前端

js教程

js中跨域的方法

小云云

Dec 09, 2017 pm 04:58 PM

javascript 方法

在製作oneday-music-player的時候要使用ajax向百度音樂的api發送請求，然後出現了XMLHttpRequest cannot load 'http://....' . No 'Access-Control-Allow-Origin' header is present on the request resource. Origin 'http://....' is therefore not allowed access，經過搜尋發現是受到了同源策略的影響而導致的跨域問題，所以學習一下關於跨域的知識點。

同源策略

同源策略限制從一個來源載入的文件或腳本與另一個來源的文件或腳本互動的方式，是隔離潛在惡意檔案的重要安全機制。

兩個頁面擁有相同的協定、連接埠（如果指定）和網域時，可以說兩個頁面是同源的。

下表是相對於http://store.company.com/dir/page.html同源檢測的範例：

🜎. /dir/inner/other.htmlhttps://store.company.com/secure.htmlhttp不同連接埠（ 81和80）不同域名（）

而如果非同源，則有三種行為會受到限制：

而如果非同源，則有三種行為會受到限制：
而如果非同源，則有三種行為會受到限制：
而如果非同源，則有三種行為會受到限制：

規避同源策略（跨域）

Cookiedocument.domain網頁但是，兩個網頁一級網域相同，只是二級網域不同，瀏覽器允許透過

document.domain共享Cookie/例如，假設文件中的一個腳本在

:/ /store.company.com/dir/page.html執行以下語句：

<span style="font-size: 14px;">document.domain = "company.com"<br></span>

登入後複製

此時，http://news.company.com/dir/other.html
和 http://store.company.com/dir/other.html就可以透過

document.cookie

來設定或取得Cookie，也就是共用Cookie。

但是這種方法適用於Cookie和iframe窗口，LocalStorage和IndexDB無法透過這種方法來規避同源策略。

iframe如果兩個網頁不同來源，就無法拿到對方的DOM，典型的例子是iframe. ，如果和父視窗不同來源，則會報錯。

此時如果兩個視窗一級網域相同，只是二級網域不同，那麼設定document.domain屬性，就可以規避同源策略。

而對於完全不同來源的網站，目前有三種方法可以解決跨域視窗之間的通訊問題。

片段識別符(fragment identifier)
window.name
片段標識符(fragment identifier)指的是URL的#後面的部分，即

http://store.company.com/dir/other.html#fragment

的

#rag

#rag (location.hash)，如果只改變片段標識符，頁面不會重新刷新。 父視窗可以把訊息寫入子視窗的片段標識符，子視窗透過監聽hashchange事件得到通知。

window.name每個iframe都有包裹它的window，這個window是top window的子窗戶，所以自然有window.name

window.name

名字，這個屬性的最大特點是，無論是否同源，只要在同一個視窗裡，視窗內所有頁面對window.name都有讀寫的權限。 window.name的值只能是字串的形式，這個字串的最大能允許2M左右甚至更大的一個容量，取決於不同的瀏覽器。 

例如，想要在http://example/a.html中获取http://company.com/data.html中的数据，可以在a.html中使用一个隐藏的iframe，将iframe的src首先设置为http://company.com/data.html，将其window.name设置为所需的数据内容，随后再将这个iframe的src设置为跟a.html页面同一个域的一个页面，不然a.html获取不到该iframe的window.name

window.postMessage

这是html5中新引入的一个API，可以使用它向其它的window对象发送消息，无论这个window对象属于同源还是不同源。

例如，父窗口http://example/a.html向子窗口http://company.com/data.html发送消息：

<span style="font-size: 14px;">var newWin = window.open('http://company.com/data.html', 'title')<br>newWin.postMessage('Hello World!'. 'http://company.com/data.html')<br></span>

登入後複製

window.postMessage方法的第一个参数是具体的信息内容，第二个参数是接收消息的窗口的源，即协议+端口+域名，也可以设置为*，表示不限制域名。

子窗口向父窗口发送消息的写法类似：

<span style="font-size: 14px;">window.opener.postMessage('Nice to see you', 'http://example/a.html')<br></span>

登入後複製

子窗口和父窗口都可以通过message时间，监听对方的消息。

<span style="font-size: 14px;">window.addEventListener('message', function(e) {<br>    // ...<br>}, false)<br></span>

登入後複製

message事件的事件对象event有以下三个属性：

event.source: 发送消息的窗口
event.origin: 消息发向的网址（可以限制目标网址）
event.data: 消息内容

通过window.postMessage，也可以读写其他窗口的localStorage

AJAX

同源策略规定，AJAX请求只能发给同源的网址，否则就报错，但是有三种方法可以规避这个限定：

JSONP
WebSocket
CORS

JSONP

JSONP是服务器与客户端跨源通信的常用方法。基本思想是利用<script>请求脚本能够跨域访问的特性，先定义了一个回调方法，然后将其作为url参数的一部分发送到服务端，服务端通过字符串拼接的方式将数据包裹在回调方法中，再返回回来。

<span style="font-size: 14px;">// 网页动态插入`<script>`元素<br>function addScriptTag(src) {<br>    var script = document.createElement("script")<br>    script.setAttribute("type", "text/javascript")<br>    srcipt.src = src<br>    document.body.appendChild(script)<br>}<br><br>window.onload = function() {<br>    addScriptTag('http://example.com/ip?callback=foo')<br>}<br><br>function foo(data) {<br>    // ...<br>}<br></span>

登入後複製

WebSocket

WebSocket是一种通信协议，使用ws://（非加密）和wss://（加密）作为协议前缀。该协议不实行同源政策，只要服务支持，就可以通过它进行跨源通信。

浏览器发出的WebSocket请求的头信息中含有Origin字段，表示该请求的请求源，即发自哪个域名。（加入白名单）

CORS

跨域资源共享（Cross-Origin Resource Sharing，CORS）是一种使用额外的HTTP头来使一个用户代理从一个不同于当前站点（域）的服务器获取指定的资源的机制。用户代理使用跨域HTTP请求来获取与当前文档不同域、不用协议或端口的资源。

出于安全考虑，浏览器会限制从脚本内发起的跨域HTTP请求。而跨域资源共享（CORS）机制允许web应用服务器进行跨域访问控制，从而使跨域数据传输得以安全进行。浏览器支持在API容器中（例如XMLHttpRequest或Fetch）使用CORS，以降低跨域HTTP请求所带来的风险。

跨域资源共享标准允许在下列场景中使用跨域HTTP请求：

由XMLHttpRequest或Fetch发起的跨域HTTP请求；
web字体（CSS中通过@font-face使用跨域字体资源），因此，网站就可以发布TrueType字体资源，并只允许已授权网站进行跨站调用；
WebGL贴图；
使用drawImage将Images/video画面绘制到canvas；
样式表（使用CSSOM）；
Scripts（未处理的异常）。

浏览器将CORS请求分成两类：简单请求(simple request)和非简单请求(not-so-simple request)

只要同时满足以下两大条件，就属于简单请求：

1 请求方法是以下三种方法之一：

<span style="font-size: 14px;">- HEAD<br>- GET<br>- POST<br></span>

登入後複製

2 HTTP的头信息不超出以下几种字段：

<span style="font-size: 14px;">- Accept<br>- Accept-Language<br>- Content-Language<br>- Last-Event-ID<br>- Content-Type:(只限三个值：application/x-www-form-urlencoded、multipart/from-data、text/plain)<br></span>

登入後複製

只要不同时满足上面两个条件，就属于非简单请求

简单请求

对于简单请求，浏览器会在请求头部增加一个Origin字段。这个字段用来说明本次请求来自哪个源（协议+域名+端口）。服务器根据这个值决定是否同意这次请求。

如果Origin指定的源不在许可范围内，服务器会返回一个正常的HTTP回应。而这个回应的头信息不包含Access-Control-Allow-Origin字段，从而会抛出错误被XMLHttpRequest的onerror函数捕获，（回应的状态码有可能是200）。

如果Origin指定的域名在许可范围内，服务器返回的响应，会多出几个头信息字段

<span style="font-size: 14px;">Access-Control-Allow-Origin: ...<br>Access-Control-Allow-Credentials: true<br>Access-Control-Expose-Headers: callback<br>Content-Type: text/html; charset=utf-8<br></span>

登入後複製

Access-Control-Allow-Origin: 必须。值要么是请求时Origin的值，要么是'*'
Access-Control-Allow-Credentials: 可选。布尔值，决定是否允许发送Cookie，不需要则删除该字段。
Access-Control-Expose-Headers: 可选。CORS请求时，XMLHttpRequest对象的 getResponseHeader()方法只能拿到6个基本字段：Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma。如果想拿到其他字段，就需要在Access-Control-Expose-Header里面指定。上面的例子指定为callback，则可以使用getResponseHeader(callback)获取callback字段的值。

CORS请求默认不发送Cookie和HTTP认证信息。如果要把Cookie发送到服务器，一方面要服务器同意，指定Access-Control-Allow-Credentials字段，另一方面，开发者需要在AJAX请求中设置withCredentials属性：

<span style="font-size: 14px;">var xhr = new XMLHttpRequest()<br>xhr.withCredentials = true<br></span>

登入後複製

否则，即使服务器同意发送Cookie，浏览器也不会发送。

需要注意的是，如果要发送Cookie，Access-Control-Allow-Origin就不能设为星号，必须指定明确的、与请求网页一致的域名。同时，Cookie依然遵循同源策略，只有用服务器域名设置的Cookie才会上传，其他域名的Cookie并不会上传，且跨域的原网页中的document.cookie操作也无法获取嗷服务器域名下的Cookie。

非简单请求

非简单请求是那种对服务器有特殊要求的请求，比如请求方法是PUT或DELETE，或者Content-Type字段的类型是application/json。

非简单请求的CORS请求，会在正式通信之前，增加一次HTTP查询请求，称为“预检”请求。

浏览器先询问服务器，当前网页所在的域名是否在服务器的许可名单之中，以及可以使用哪些HTTP操作和头信息字段。只有得到肯定答复，浏览器才会发出正式的XMLHttpRequest请求，否则就报错。

“预检”请求用请求方法是OPTIONS，表示这个请求是用来询问的。头信息里面，关键字段是Origin，表示请求来自哪个源。

还有以下两个特殊字段：

Access-Control-Request-Method: 必须。列出非简单请求的请求类型
Access-Control-Request-Headers: 非简单请求额外携带的头信息字段。

服务器返回的响应：

<span style="font-size: 14px;">Access-Control-Allow-Methods: ...<br>Access-Control-Expose-Headers: callback<br>Access-Control-Allow-Credentials: true<br>Access-Control-Max-Age: 1728000<br></span>

登入後複製

Access-Control-Allow-Methods: 必须。逗号分隔的一个字符串，表明服务器支持的所有跨域请求的方法。为了避免多次“预检”行为。
Access-Control-Expose-Headers: 如果瀏覽器請求包含Access-Control-Request-Headers字段，則. 。它也是一個逗號分隔的字串，表示伺服器支援的所有頭資訊字段，不限於瀏覽器在"預檢"中請求的字段。

CORS與JSONP的使用目的相同，但是比JSONP更強大。

JSONP只支援

GET請求，CORS支援所有類型的HTTP請求。 JSONP的優勢在於支援老式瀏覽器，以及可以向不支援CORS的網站請求資料。 相關建議：

用Js實現懶載與跨域的實作步驟

原因	<span style="font-size: 14px;"></span>	<span style="font-size: 14px;"></span>http://store.company.com/dir2/other.html
`<span style="font-size: 14px;"></span>`成功	<span style="font-size: 14px;"></span>
`<span style="font-size: 14px;"></span>` https	和
`）<span style="font-size: 14px;"></span>`	<span style="font-size: 14px;"></span>http://store.company.com:81/dir/	<span style="font-size: 14px;"></span>`<span style="font-size: 14px;"></span>`http://news.company.com/dir/other.html<span style="font-size: 14px;"></span>`<span style="font-size: 14px;"></span>失敗`<span style="font-size: 14px;"></span>
news`<span style="font-size: 14px;"></span>和`	store<span style="font-size: 14px;"></span>	<span style="font-size: 14px;"></span>

以上是js中跨域的方法的詳細內容。更多資訊請關注PHP中文網其他相關文章！

本網站聲明

本文內容由網友自願投稿，版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容，請聯絡admin@php.cn

熱AI工具

Undresser.AI Undress

人工智慧驅動的應用程序，用於創建逼真的裸體照片

AI Clothes Remover

用於從照片中去除衣服的線上人工智慧工具。

Undress AI Tool

免費脫衣圖片

Clothoff.io

AI脫衣器

AI Hentai Generator

免費產生 AI 無盡。

熱工具

記事本++7.3.1

好用且免費的程式碼編輯器

SublimeText3漢化版

中文版，非常好用

禪工作室 13.0.1

強大的PHP整合開發環境

Dreamweaver CS6

視覺化網頁開發工具

SublimeText3 Mac版

神級程式碼編輯軟體(SublimeText3)

熱門話題

gmail信箱登陸入口在哪裡

7488

CakePHP 教程

1377

steam的賬戶名稱是什麼格式

win11激活密鑰永久

NYT連接提示和答案

Related knowledge

怎麼刪除微信好友？刪除微信好友的方法 Mar 04, 2024 am 11:10 AM

微信是主流的聊天工具之一，我們可以透過微信認識新的朋友，聯絡老的朋友，維繫朋友之間的友誼。正如天下沒有不散的宴席，人與人之間的相處難免會發生意見不合的時候。當一個人極度影響你的情緒，或是在相處的時候發現三觀不合，沒辦法再繼續溝通，那麼我們可能需要刪除微信好友的方法。怎麼刪除微信好友？刪除微信好友的方法第一步:在微信主介面輕觸【通訊錄】;第二步:點選對應要刪除的好友，進入【詳細資料】;第三步:點選右上角【...】;第四步:點選下方【刪除】即可;第五步:了解後頁面提示後，點選【刪除聯絡人】即可;溫馨

怎麼在番茄免費小說app中寫小說分享番茄小說寫小說方法教程 Mar 28, 2024 pm 12:50 PM

番茄小說是一款非常熱門的小說閱讀軟體，我們在番茄小說中經常會有新的小說和漫畫可以去閱讀，每一本小說和漫畫都很有意思，很多小伙伴也想著要去寫小說來賺取賺取零用錢，在把自己想要寫的小說內容編輯成文字，那麼我們要怎麼樣在這裡面去寫小說呢?小伙伴們都不知道，那就讓我們一起到本站本站中花點時間來看寫小說的方法介紹。分享番茄小說寫小說方法教學　　1、先在手機上打開番茄免費小說app，點擊個人中心——作家中心　　2、跳到番茄作家助手頁面——點擊創建新書在小說的結

七彩虹主機板怎麼進入bios？教你兩種方法 Mar 13, 2024 pm 06:01 PM

　　七彩虹主機板在中國國內市場享有較高的知名度和市場佔有率，但是有些七彩虹主機板的用戶還不清楚怎麼進入bios進行設定呢？針對這一情況，小編專門為大家帶來了兩種進入七彩虹主機板bios的方法，快來試試吧！方法一：使用u盤啟動快捷鍵直接進入u盤裝系統七彩虹主機板一鍵啟動u盤的快捷鍵是ESC或F11，首先使用黑鯊裝機大師製作一個黑鯊U盤啟動盤，然後開啟電腦，當看到開機畫面的時候，連續按下鍵盤上的ESC或F11鍵以後將會進入到一個啟動項順序選擇的窗口，將遊標移到顯示“USB”的地方，然

微信刪除的人如何找回（簡單教學告訴你如何恢復被刪除的聯絡人） May 01, 2024 pm 12:01 PM

而後悔莫及、人們常常會因為一些原因不小心刪除某些聯絡人、微信作為一款廣泛使用的社群軟體。幫助用戶解決這個問題，本文將介紹如何透過簡單的方法找回被刪除的聯絡人。 1.了解微信聯絡人刪除機制這為我們找回被刪除的聯絡人提供了可能性、微信中的聯絡人刪除機制是將其從通訊錄中移除，但並未完全刪除。 2.使用微信內建「通訊錄恢復」功能微信提供了「通訊錄恢復」節省時間和精力，使用者可以透過此功能快速找回先前刪除的聯絡人，功能。 3.進入微信設定頁面點選右下角，開啟微信應用程式「我」再點選右上角設定圖示、進入設定頁面，，

Win11管理員權限取得方法總計 Mar 09, 2024 am 08:45 AM

Win11管理員權限取得方法匯總在Windows11作業系統中，管理員權限是非常重要的權限之一，可以讓使用者對系統進行各種操作。有時候，我們可能需要取得管理員權限來完成一些操作，例如安裝軟體、修改系統設定等。下面就為大家總結了一些取得Win11管理員權限的方法，希望能幫助大家。 1.使用快捷鍵在Windows11系統中，可以透過快捷鍵的方式快速開啟命令提

手機版龍蛋孵化方法大揭密（一步一步教你如何成功孵化手機版龍蛋） May 04, 2024 pm 06:01 PM

手機遊戲成為了人們生活中不可或缺的一部分，隨著科技的發展。它以其可愛的龍蛋形象和有趣的孵化過程吸引了眾多玩家的關注，而其中一款備受矚目的遊戲就是手機版龍蛋。幫助玩家們在遊戲中更好地培養和成長自己的小龍，本文將向大家介紹手機版龍蛋的孵化方法。 1.選擇合適的龍蛋種類玩家需要仔細選擇自己喜歡並且適合自己的龍蛋種類，根據遊戲中提供的不同種類的龍蛋屬性和能力。 2.提升孵化機的等級玩家需要透過完成任務和收集道具來提升孵化機的等級，孵化機的等級決定了孵化速度和孵化成功率。 3.收集孵化所需的資源玩家需要在遊戲中

手機字體大小設定方法（輕鬆調整手機字體大小） May 07, 2024 pm 03:34 PM

字體大小的設定成為了重要的個人化需求，隨著手機成為人們日常生活的重要工具。以滿足不同使用者的需求、本文將介紹如何透過簡單的操作，提升手機使用體驗，調整手機字體大小。為什麼需要調整手機字體大小-調整字體大小可以使文字更清晰易讀-適合不同年齡段用戶的閱讀需求-方便視力不佳的用戶使用手機系統自帶字體大小設置功能-如何進入系統設置界面-在在設定介面中找到並進入"顯示"選項-找到"字體大小"選項並進行調整第三方應用調整字體大小-下載並安裝支援字體大小調整的應用程式-開啟應用程式並進入相關設定介面-根據個人

快速掌握：華為手機開啟兩個微信帳號方法大揭密！ Mar 23, 2024 am 10:42 AM

在現今社會，手機已經成為我們生活中不可或缺的一部分。而微信作為我們日常溝通、工作、生活的重要工具，更是經常被使用。然而，在處理不同事務時可能需要分開兩個微信帳號，這就要求手機能夠支援同時登入兩個微信帳號。華為手機作為國內知名品牌，很多人使用，那麼華為手機開啟兩個微信帳號的方法是怎麼樣的呢？下面就來揭秘一下這個方法。首先，要在華為手機上同時使用兩個微信帳號，最簡

See all articles

js中跨域的方法

同源策略

<span style="font-size: 14px;"></span>規避同源策略（跨域）

<span style="font-size: 14px;"></span>

<span style="font-size: 14px;"></span>的

<span style="font-size: 14px;"></span>window.name

<span style="font-size: 14px;">window.postMessage</span>

AJAX

JSONP

WebSocket

CORS

简单请求

非简单请求

<span style="font-size: 14px;"></span>CORS與JSONP的使用目的相同，但是比JSONP更強大。

熱AI工具

Undresser.AI Undress

AI Clothes Remover

Undress AI Tool

Clothoff.io

AI Hentai Generator

熱門文章

熱工具

記事本++7.3.1

SublimeText3漢化版

禪工作室 13.0.1

Dreamweaver CS6

SublimeText3 Mac版

熱門話題