前端跨域原因和解决方案

淡淡的烟草味﹌ 2021-06-24 15:59 674阅读 0赞

## 产生跨域问题的原因 ##

跨域问题是浏览器同源策略限制，当前域名的js只能读取同域下的窗口属性。

## 跨域问题产生的场景 ##

当要在在页面中使用js获取其他网站的数据时，就会产生跨域问题，比如在网站中使用ajax请求其他网站的天气、快递或者其他数据接口时以及hybrid app中请求数据，浏览器就会提示以下错误。这种场景下就要解决js的跨域问题。

XMLHttpRequest cannot load http://你请求的域名. No 'Access-Control-Allow-Origin' header is present on the requested resource. Origin 'http://当前页的域名' is therefore not allowed access.

## 哪些情况会产生跨域问题 ##

一个网站的网址组成包括协议名，子域名，主域名，端口号。比如 [https://github.com/][https_github.com] ，其中https是协议名，www是子域名，github是主域名，端口号是80，当在在页面中从一个url请求数据时，如果这个url的协议名、子域名、主域名、端口号任意一个有一个不同，就会产生跨域问题。  
即使是在 `http://localhost:80/` 页面请求 `http://127.0.0.1:80/` 也会有跨域问题

## 解决跨域问题 ##

解决跨域问题有以下一种方式

*  使用jsonp
 *  服务端代理
 *  服务端设置`Request Header`头中`Access-Control-Allow-Origin`为指定可获取数据的域名
 *  document.domain+iframe的设置
 *  ##### window.name实现的跨域数据传输 #####
 *  使用HTML5 postMessage

### jsonp的解决方式 ###

json≠jsonp

#### 原理 ####

jsonp解决跨域问题的原理是，浏览器的`script`标签是不受同源策略限制(你可以在你的网页中设置`script`的`src`属性问cdn服务器中静态文件的路径)。那么就可以使用script标签从服务器获取数据，请求时添加一个参数为callbakc=?，?号时你要执行的回调方法。

#### 前端实现 ####

以jQuery2.1.3的ajax方法为例

$.ajax({
        url:"",
        dataType:"jsonp",
        data:{
            params:""
            }
    }).done(function(data){
        //dosomething..
    })

仅仅是客户端使用jsonp请求数据是不行的，因为jsonp的请求是放在`script`标签中的，和普通请求不同的地方在于，它请求到的是一段js代码，如果服务端返回了json字符串，那么浏览器就会报错。所以jsonp返回数据需要服务端做一些处理。

#### 服务端返回数据处理 ####

上面说了jsonp的原理是利用`script`标签来解决跨域，但是`script`标签是用来获取js代码的，那么我们怎么获取到请求的数据呢。

这就需要服务端做一些判断，当参数中带有callback属性时，返回的type要为`application/javascript`,把数据作为callback的参数执行。下面是jsonp返回的数据的格式示例

/**/ typeof jQuery21307270454438403249_1428044213638 === 'function' && jQuery21307270454438403249_1428044213638({
       "code":1,"msg":"success","data":{
       "test":"test"}});

这是express4.12.3关于jsonp的实现代码

// jsonp
      if (typeof callback === 'string' && callback.length !== 0) {
        this.charset = 'utf-8';
        this.set('X-Content-Type-Options', 'nosniff');
        this.set('Content-Type', 'text/javascript');
    
        // restrict callback charset
        callback = callback.replace(/[^\[\]\w$.]/g, '');
    
        // replace chars not allowed in JavaScript that are in JSON
        body = body
          .replace(/\u2028/g, '\\u2028')
          .replace(/\u2029/g, '\\u2029');
    
        // the /**/ is a specific security mitigation for "Rosetta Flash JSONP abuse"
        // the typeof check is just to reduce client error noise
        body = '/**/ typeof ' + callback + ' === \'function\' && ' + callback + '(' + body + ');';
      }

###  ###

**服务端代理：**

例如www.123.com/index.html需要调用www.456.com/server.php，可以写一个接口www.123.com/server.php，由这个接口在后端去调用www.456.com/server.php并拿到返回值，然后再返回给index.html，这就是一个代理的模式。相当于绕过了浏览器端，自然就不存在跨域问题。

### 服务端设置Access-Control-Allow-Origin ###

这种方式只要服务端把response的header头中设置`Access-Control-Allow-Origin`为制定可请求当前域名下数据的域名即可。一般情况下设为*即可。这样客户端就不需要使用jsonp来获取数据。  
关于`Access-Control-Allow-Origin`设为*是否会有安全问题，知乎上有个讨论。

> [http://www.zhihu.com/question/22992229][http_www.zhihu.com_question_22992229]

#### 浏览器支持 ####

Access-Control-Allow-Origin是html5新增的一项标准，IE10以下是不支持的，所以如果产品面向的是PC端，就要使用服务端代理或jsonp。

**document.domain+iframe的设置**

这种方式适用于\{www.kuqin.com, kuqin.com, script.kuqin.com, css.kuqin.com\}中的任何页面相互通信。

问题：

（1）安全性，当一个站点（b.a.com）被攻击后，另一个站点（c.a.com）会引起安全漏洞。

（2）如果一个页面中引入多个iframe，要想能够操作所有iframe，必须都得设置相同domain。

window.name实现的跨域数据传输

Javascript的APIs中，如 iframe.contentWindow, window.parent, window.open 和 window.opener 允许文档间直接相互引用。

当两个文档的源不同时，这些引用方式将对 Window 和 Location对象的访问添加限制。可以使用window.postMessage 作为替代方案，提供跨域文档间的通讯。

**使用HTML5 postMessage**

window.postMessage的功能是允许程序员跨域在两个窗口/frames间发送数据信息。基本上，它就像是跨域的AJAX，但不是浏览器跟服务器之间交互，而是在两个客户端之间通信。除了IE6、IE7之外的所有浏览器都支持window.postMessage。

参考链接： [https://segmentfault.com/a/1190000002647143][https_segmentfault.com_a_1190000002647143]

[https_github.com]: https://github.com/
[http_www.zhihu.com_question_22992229]: http://www.zhihu.com/question/22992229
[https_segmentfault.com_a_1190000002647143]: https://segmentfault.com/a/1190000002647143