同源与跨域
平常情况下，制止一个域从另一个域读取数据，却能够运用某些从其他域拿到的资本。比方说，许可一个域实行、衬着、运用从其他域猎取到的剧本、图片、款式；一样，一个域能够展现从其他域猎取的内容，比方在frame中显现html文档。网络资本也能够选择性的让其他域来读取本身的信息，比方运用Cross-Origin Resource Sharing，这类情况下接见权是针对单个域受权的。同源战略的掌握者是浏览器，浏览器能够掌握差别域之间的资本的接见或互相操纵，但不掌握本身对差别域之间的资本的操纵和接见。
同源战略
源：由协定【https、http】+域名【a.com】+端口【80、443】构成，（ie中略有差别），同源战略是浏览器的中心平安战略，目标是将来自差别源的资本举行断绝，并掌握差别源资本间的通讯，从而削减平安要挟，加强平安性。
跨域中的一些限定以及不限定内容以下：
不限定内容：
- 剧本文件 js
- 图片资本
- 款式资本css
- iframe展现其他的的资本
- a链接接见其他资本
- 多媒体等资本
- form表单提交
限定内容：
- 跨域的要领【get、post能够】
- 跨域要求头不能够增加自定义头部
- 当地文件体系读写
- iframe能够接见iframe团体，不能接见内容
- cookie的限定，运用CORS须要withCredentials=true才能够带上cookie
跨域要领
- 运用反向代办，防止跨域，经由过程后端来完成跨域部份
- JSONP体式格局，应用js文件的跨域许可，而且js文件要求到了，就会实行该js剧本，云云能够在前端定义好function callback(data){};如许去要求后端的js文件，文件的内容包含了须要的数据，然则返回的是一个函数callback(data);如许就会挪用前端剧本写好的callback要领，把data当作参数运用
- CORS（Cross Origin Resource Sharing），经由过程协商HTTP Header让浏览器和服务端举行通讯，来决议要求或许相应是不是有用，默许情况下，浏览器发送跨域要求不带认证信息（比方cookie,证书,代办认证信息等），withCredentials属性值为false，后端相应设置Access-Control-Allow-Origin许可该域，或许为*,假如须要cookie认证信息跨域须要withCredentials=true，同时服务端许可Access-Control-Allow-Credentials:true，同时Access-Control-Allow-Origin 值不能为
*；运用CORS浏览器将CORS要求分红两类：简朴要求（simple request）和非简朴要求（not-so-simple request），只需同时满足以下两大前提，就属于简朴要求。
1) 要求要领是以下三种要领之一：
HEAD
GET
POST
（2）HTTP的头信息不超越以下几种字段：
Accept
Accept-Language
Content-Language
Last-Event-ID
Content-Type：只限于三个值application/x-www-form-urlencoded、multipart/form-data、text/plain
关于非简朴要求、会提议预检要求Options来确认是不是许可跨域，这类要领老的浏览器不一定支撑。fetch要领在挪动端运用较多，也能够合营CORS来完成跨域。
- form表单提交，如许能够提交数据，然则举行交互有点难题；
- window.name + iframe的运用，能够运用iframe定义一个窗口window，经由过程后端或许页面iframe的src页面的js剧本合营，把数据放在这个window.name上，最大能够存储2M的数据，然后主域能够把这个iframe的src设置为什么主域同域的中心页，而此时iframe的window.name并不会变，如许主页就能够猎取该iframe的window.name来猎取数据。参考链接
- document.domain能够完成两个顶级域名下的子域名之间的通讯
- postMessage是H5中的window之间的通讯体式格局。
- WebSocket能够随意玩
