同源策略对

同源策略是一套浏览器安全机制当一个源的文档和脚本与另一个源的资源进行通信时同源策略就会对这个通信做出不同程度的限制。

同源策略对

a元素的跳转href加载css、js、图片等srcAJAX等等

API

window.open、window.parent、iframe.contentWindow等等

1.3

Sharing是最正统的跨域解决方案同时也是浏览器推荐的解决方案。

2.1.1

浏览器默认自带的头部字段都是满足安全规范的只要开发者不改动和新增头部就不会打破此条规则

如果有Content-Type必须是下列值中的一个axios等库需要时会自动更改Content-Type

text/plainmultipart/form-dataapplication/x-www-form-urlencoded

2.1.2

默认情况下ajax的跨域请求并不会附带cookie这样一来某些需要权限的操作就无法进行。

xhr

当一个请求需要附带cookie时无论它是简单请求还是预检请求都会在请求头中添加cookie字段。

告知的方式也非常的简单只需要在响应头中添加Access-Control-Allow-Credentials:

对于一个附带身份凭证的请求若服务器没有明确告知浏览器仍然视为跨域被拒绝。

2.1.4.2

在跨域访问时JS只能拿到一些最基本的响应头如Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma如果要访问其他头则需要服务器设置本响应头。

Access-Control-Expose-Headers头让服务器把允许浏览器访问的头放入白名单例如

authorization,

恶意攻击者可能利用callback恶意函数的方式实现XSS攻击

容易被非法站点恶意调用

来自服务器的消息,};res.set(content-type,

application/javascript);res.end(${cbname}(${JSON.stringify(data)}));

});//

axios.get(https://pvp.qq.com/web201605/js/herolist.json);//

使用CORS解决对代理服务器的跨域res.header(access-control-allow-origin,

});const

来自服务器的消息,};res.set(content-type,

application/javascript);res.end(${cbname}(${JSON.stringify(data)}));

});//

axios.get(https://pvp.qq.com/web201605/js/herolist.json);//

使用CORS解决对代理服务器的跨域res.header(access-control-allow-origin,

});const