Ajax跨域

2023年1月4日 228次阅读 来源: 流渚微梦

宣布自
Kindem的博客，迎接人人转载，然则要注意申明出处。别的，该文章收纳在
Kindem的个人的 IT 学问整顿堆栈，迎接 Star、Fork、投稿

Ajax跨域简介

所谓Ajax跨域指的是Ajax要求从其他的域猎取数据或许传输数据

所谓域同源，指的是两个服务器资本的根url的域名、端口、协定三者完全相同，只需三者中任何一个差别，则申明产生了跨域

给一个例子，关于第一个服务器资本，其他一些url的同源状况以下:

http://www.test.com/index.html

http://www.test.com/index.js            同源
http://www.test.com/login/login.js      同源
https://www.test.com/index.html         跨域(协定)
http://www.a.com/index.html             跨域(域名)
http://a.com/index.html                 跨域(差别子域)
http://www.test.com:8080/index.html     跨域(端口)

经常运用跨域要领

CORS

CORS是一个W3C规范，其全称为Cross-Origin Resource Sharing，即跨域资本共享。它允许浏览器向跨域服务器发送XMLHttpRequest要求，从而克服了Ajax只能同源运用的限定

CORS须要浏览器和服务器同时支撑，现在主流浏览器都支撑这个规范(IE>=10)，所以CORS的症结主要在于服务器，要支撑这个功用，每每开发者须要在服务器端举行分外设置

别的，CORS规范对用户来说是通明的，用户感知不到CORS的存在，一切都是浏览器自动完成。当浏览器检测到跨域的Ajax要求时，就会自动做出一些处置惩罚，使得要求能够跨域

跨域的Ajax要求分为两种：

  • 简朴要求:

    • 要求要领为HEAD、POST、GET之一
    • HTTP头字段只要Accept、Accept-Language、Content-Language、Last-Event-ID、Content-Type中的一种或多种
    • HTTP头字段中的Content-Type字段的取值为application/x-www-form-urlencoded、multipart/form-data、text/plain之一
  • 非简朴要求: 一切不满足上述划定规矩的要求

CORS关于两种差别的要求的处置惩罚是差别的

关于简朴要求，一个跨域Ajax要求的处置惩罚流程以下:

  1. 浏览器自动在本次要求的HTTP头中增加Origin字段，示意此次要求来自的域

  2. 服务器依据Origin字段推断这一次要求是不是在允许范围内：

    • 假如不在，返回一个一般的HTTP相应，只不过相应的HTTP头中没有Access-Control-Allow-Origin字段，浏览器将以为这一次跨域Ajax没能胜利

    • 假如在，服务器会在相应HTTP头中增加这几个字段

      • Access-Control-Allow-Origin: 这个字段标识服务器认同的Origin，这个Origin为*时标识服务器认同一切源。只要要求的HTTP头的Origin与该字段同源时，浏览器才会以为这一次跨域Ajax要求胜利了
      • Access-Control-Allow-Credentials: 这个字段标识服务器允许Cookie，假如设置为true则标识允许，默以为不允许
      • Access-Control-Expose-Headers: 允许XMLHttpRequest猎取的分外字段名

关于非简朴要求，一个跨域Ajax要求的处置惩罚流程以下:

  1. 浏览器在发送正式的Ajax要求之前，会提早发送一次OPTIONS要求，头信息中有:

    • Origin: 要求的源
    • Access-Control-Request-Method: 浏览器会用的的HTTP要领
    • Access-Control-Request-Headers: 浏览器会分外发送的头信息字段
  2. 收到这个要求以后，服务器将会返回一些掌握信息，最主要的仍然是上面说到的剖断是不是允许跨域的Access-Control-Allow-Origin
  3. 假如服务器返回了一个一般的HTTP相应，则浏览器会以为OPTIONS要求胜利，接下来则会举行真正的的要求
  4. 服务器一般处置惩罚真正的要求，而且在返回的HTTP相应中也带上Access-Control-Allow-Origin，浏览器会再一次校验这一字段

可见CORS规范自身并不庞杂，其中心是服务器和浏览器考证域是不是被允许

JSONP

JSONP的全称为JSON with Padding，是JSON数据的一种运用情势，JSONP一样是为了支撑跨域Ajax要求而生的，然则它相对CORS来说对陈旧的浏览器兼容性较好，也越发简朴。

JSONP的道理是JavaScript注入，在html中运用<script>标签引入JavaScript剧本是不会遭到同源限定的，这意味着能够经由过程<script>标签引入来自跨域的剧本，像如许:

// origin:  http://www.test.com

<script>
    function dealData(jsonData) {
        // do something with jsonData
    }
</script>
<script src="http://www.a.com/data.js"></script>

想象一下假如引入的剧本是如许的:

dealData({
    username: 'kindem',
    age: 15,
    // ...
});

不是就相当于从服务器拿到一段数据而且举行处置惩罚了吗?

接下来能够想象一下，假定服务器关于src指向的url的处置惩罚并非返回一个静态文件，而是动态地组合出一段文本，这段文本一上面给的情势返回，内里的参数由服务器动态天生，而挪用的函数则是前端约定好的函数，则相当于变相地返回了一段跨域的数据，这就是JSONP的中心头脑

    原文作者：流渚微梦
    原文地址: https://segmentfault.com/a/1190000016215098
    本文转自网络文章，转载此文章仅为分享知识，如有侵权，请联系博主进行删除。
点赞