跨域3：“同源策略”几种跨域问题处理方法

一.不同子域的跨域技术：

主域名 :    example.com

子域名1：abc.example.com abc.html crossdomain.html

子域名2：def.example.com def.html 

 

1.def.example.com域下面有一个def.html页面，页面上有一个js函数

,页面上有一个iframe标签src="abc.html"

 

<iframe src='abc.html '></iframe>

 

function funcInDef() {
   .....

}

 

2.abc.example.com域下面有一个abc.html页面，此时我要用abc.html页面访问def.html的方法funcInDef()

 

window.top.funcInDef();

 

会报以下错误：

 

3.在abc.html和def.html页面加上以下js：

 

<script type="text/javascript">
    document.domain = "example.com";

</script> 

 

问题解决。

注意:domain只能设置一个更顶级的域名。

 

二. 向不同子域提交Ajax请求。

    在abc.html中添加如下代码：

     factories = [
    function() { return new XMLHttpRequest(); },
    function() { return new ActiveXObject("Msxml2.XMLHTTP"); },
    function() { return new ActiveXObject("Microsoft.XMLHTTP"); }
];
function newRequest() {
    for(var i = 0; i < factories.length; i++) {
        try{
            var factory = factories[i];
            return factory();
        } catch(e) {}
    }
    return null;

} 

 

//向def.html 发送请求

var request = newRequest();
request.open("GET", "http://def.example.com" );

request.send(null);

 

则出现跨域问题，JavaScript引擎抛出异常。

解决的办法是，在def.example.com域下放置一个跨域文件，假设叫crossdomain.html；

然后将前面的newRequest函数的定义移到这个跨域文件中；

最后像之前修改document.domain值的做法一样，在crossdomain.html文件和abc.html顶端，都加上：

<script type="text/javascript">
    document.domain = "example.com";

</script>

　为了使用跨域文件，我们在abc.html页面中嵌入一个隐藏的指向跨域文件的iframe，例如：

 

<iframe name="xd_iframe" style="display:none" src="http://def.example.com/crossdomain.html"></iframe>

　　

这时abc.html页面和跨域文件crossdomain.html都在同一个域（example.com）下，我们可以在abc.example.com域下的页面中去调用crossdomain.html中的newRequest函数：

 

var request = window.frames["xd_iframe"].newRequest();

 

这样获得的request对象，就可以向http://def.example.com发送HTTP请求了。

 

父页访问子页，可以document.getElementById("myframe").contentWindow.document来访问iframe页面的内容；如果支持contentDocument也可以直接document.getElementById("myframe").contentDocument访问子页面内容；

 

子页访问父页，可以parent.js全局属性

 

三。完全不同域的跨域技术

域名1： example1.com

域名2： example2.com

根据不同的跨域需求，跨域技术可以归为下面几类：

1、JSONP跨域GET请求
2、通过iframe实现跨域
3、flash跨域HTTP请求

4、window.postMessage

 

1》.jsonp的使用：

    javascrip实现跨域请求，方式1：

    

Html代码  

1. <meta content="text/html; charset=utf-8" http-equiv="Content-Type" />  
2. <script type="text/javascript">  
3.     function jsonpCallback(result) {  
4.         //alert(result);  
5.         for(var i in result) {  
6.             alert(i+":"+result[i]);//循环输出a:1,b:2,etc.  
7.         }  
8.     }  
9.     var JSONP=document.createElement("script");  
10.     JSONP.type="text/javascript";  
11.     JSONP.src="http://crossdomain.com/services.php?callback=jsonpCallback";  
12.     document.getElementsByTagName("head")[0].appendChild(JSONP);  
13. </script>  

 

  javascrip实现跨域请求，方式2：

  

Html代码  

1. <meta content="text/html; charset=utf-8" http-equiv="Content-Type" />  
2. <script type="text/javascript">  
3.     function jsonpCallback(result) {  
4.         alert(result.a);  
5.         alert(result.b);  
6.         alert(result.c);  
7.         for(var i in result) {  
8.             alert(i+":"+result[i]);//循环输出a:1,b:2,etc.  
9.         }  
10.     }  
11. </script>  
12. <script type="text/javascript" src="http://crossdomain.com/services.php?callback=jsonpCallback"></script>  

 

 

 

 jQuery实现跨域请求方式1：getJson

Js代码  

1. <script type="text/javascript" src="jquery.js"></script>  
2. <script type="text/javascript">  
3.     $.getJSON("http://crossdomain.com/services.php?callback=?",  
4.     function(result) {  
5.         for(var i in result) {  
6.             alert(i+":"+result[i]);//循环输出a:1,b:2,etc.  
7.         }  
8.     });  
9. </script>  

 

 

 jQuery实现跨域请求方式2：ajax

Js代码  

1. <script type="text/javascript" src="jquery.js"></script>  
2. <script type="text/javascript">  
3.     $.ajax({  
4.         url:"http://crossdomain.com/services.php",  
5.         dataType:'jsonp',  
6.         data:'',  
7.         jsonp:'callback',  
8.         success:function(result) {  
9.             for(var i in result) {  
10.                 alert(i+":"+result[i]);//循环输出a:1,b:2,etc.  
11.             }  
12.         },  
13.         timeout:3000  
14.     });  
15. </script>  

 

 jQuery实现跨域请求方式3：get

Js代码  

1. <script type="text/javascript" src="jquery.js"></script>  
2. <script type="text/javascript">  
3.     $.get('http://crossdomain.com/services.php?callback=?', {name: encodeURIComponent('tester')}, function (json) { for(var i in json) alert(i+":"+json[i]); }, 'jsonp');  
4. </script>  

 

 

其中 jsonCallback 是客户端注册的，获取 跨域服务器 上的json数据 后，回调的函数。
http://crossdomain.com/services.php?callback=jsonpCallback
这个 url 是跨域服务 器取 json 数据的接口，参数为回调函数的名字，返回的格式为

 

Js代码  

1. jsonpCallback({msg:'this is json data'})  

 

2》。iframe实现跨域：

 

前提，www.a.com下a.html，a.html内iframe调用了www.b.com下的b.html，b.html下iframe调用了www.a.com下的c.html

　　b.html是不无法直接访问a.html的对象，因为涉及到跨域，但可以访问parent，同样c.html的parent可以访问b.html。c.html和a.html同域，是可以访问a下的对象的。parent.parent.js对象!

　　看下面实例：

a.html

<!doctype html><html><head><meta charset="utf-8"><title>无标题文档</title></head>

<body><iframe src="http://www.b.com/b.html" ></iframe><ul id="getText"></ul><script>
    function dosome(text){
        document.getElementById("getText").innerHTML= decodeURI(text);    
    }
</script></body></html>

b.html

<!doctype html><html><head><meta charset="utf-8"><title>无标题文档</title></head>

<body><iframe id="myfarme" src="###"></iframe><ul id="ct"><li>这里是内容1</li><li>这里是内容2</li><li>这里是内容3</li><li>这里是内容4</li><li>这里是内容5</li><li>这里是内容6</li></ul><script>
    window.onload = function(){
        var text = document.getElementById('ct').innerHTML;
        document.getElementById('myfarme').src="http://www.a.com/c.html?content="+encodeURI(text);
    }
</script></body></html>

c.html

<!doctype html><html><head><meta charset="utf-8"><title>无标题文档</title><script>
window.onload = function(){
    var text = window.location.href.split('=')[1]
    console.log(parent.parent)
    parent.parent.dosome(text);
}
</script></head>

<body>
ddddddddddd
</body></html>

 

 

3.利用flash实现跨域HTTP请求：

据称，flash在浏览器中的普及率高达90%以上。

　　flash代码和JavaScript代码之间可以互相调用，并且flash的“安全沙箱”机制与JavaScript的安全机制并不尽相同，因此，我们可以利用flash来实现跨域提交HTTP请求（支持GET/POST等）。

　　例如，我们用浏览器访问http://example1.com/index.php这个页面，在这个页面中引用了http://example2.com/flash.swf这个flash文件，然后在flash代码中向http://example3.com/webservice.php发送HTTP请求。

　　这个请求能否被成功发送，取决于在example3.com的根路径下是否放置了一个crossdomain.xml以及这个crossdomain.xml的配置如何。flash的“安全沙箱”会保证：仅当example3.com服务器在根路径下确实放置了crossdomain.xml文件并且在这个文件中配置了允许接受来自example2.com的flash的请求时，这个请求才能真正成功。下面是一个crossdomain.xml文件内容的例子：

 

<?xml version="1.0"?>
<cross-domain-policy>
    <allow-access-from domain="example2.com" />
</cross-domain-policy>

 

 

4.postMessage()

一些麻烦事儿

平时做web开发的时候关于消息传递，除了客户端与服务器传值还有几个经常会遇到的问题

1.页面和其打开的新窗口的数据传递

2.多窗口之间消息传递

3.页面与嵌套的iframe消息传递

4.上面三个问题的跨域数据传递

postMessage()

这些问题都有一些解决办法，但html5引入的message的API可以更方便、有效、安全的解决这些难题。postMessage()方法允许来自不同源的脚本采用异步方式进行有限的通信，可以实现跨文本档、多窗口、跨域消息传递。

postMessage(data,origin)方法接受两个参数

 1.data:要传递的数据，html5规范中提到该参数可以是JavaScript的任意基本类型或可复制的对象，然而并不是所有浏览器都做到了这点儿，部分浏览器只能处理字符串参数，所以我们在传递参数的时候需要使用JSON.stringify()方法对对象参数序列化，在低版本IE中引用json2.js可以实现类似效果。

2.origin：字符串参数，指明目标窗口的源，协议+主机+端口号[+URL]，URL会被忽略，所以可以不写，这个参数是为了安全考虑，postMessage()方法只会将message传递给指定窗口，当然如果愿意也可以建参数设置为"*"，这样可以传递给任意窗口，如果要指定和当前窗口同源的话设置为"/"。

http://test.com/index.html

<div style="width:200px; float:left; margin-right:200px;border:solid 1px #333;">
        <div id="color">Frame Color</div>
    </div>
    <div>
        <iframe id="child" src="http://lsLib.com/lsLib.html"></iframe>
    </div>

 

我们可以在http://test.com/index.html通过postMessage()方法向跨域的iframe页面http://lsLib.com/lsLib.html传递消息

window.οnlοad=function(){
            window.frames[0].postMessage('getcolor','http://lslib.com');
        }

接收消息

test.com上面的页面向lslib.com发送了消息，那么在lslib.com页面上如何接收消息呢，监听window的message事件就可以

http://lslib.com/lslib.html

window.addEventListener('message',function(e){
                if(e.source!=window.parent) return;
                var color=container.style.backgroundColor;
                window.parent.postMessage(color,'*');
            },false);

 

这样我们就可以接收任何窗口传递来的消息了，为了安全起见，我们利用这时候的MessageEvent对象判断了一下消息源,MessageEvent是一个这样的东东

有几个重要属性

1. data：顾名思义，是传递来的message
2. source：发送消息的窗口对象
3. origin：发送消息窗口的源（协议+主机+端口号）

这样就可以接收跨域的消息了，我们还可以发送消息回去，方法类似

简单的demo

在这个例子中，左边的div会根据右边iframe内div颜色变化而变化

   

http://test.com/index.html

http://lslib.com/lslib.html

 

在例子中页面加载的时候主页面向iframe发送’getColor‘ 请求（参数没实际用处）

window.οnlοad=function(){
            window.frames[0].postMessage('getcolor','http://lslib.com');
        }

 

iframe接收消息，并把当前颜色发送给主页面呢

window.addEventListener('message',function(e){
                if(e.source!=window.parent) return;
                var color=container.style.backgroundColor;
                window.parent.postMessage(color,'*');
            },false);

 

主页面接收消息，更改自己div颜色

window.addEventListener('message',function(e){
            var color=e.data;
            document.getElementById('color').style.backgroundColor=color;
        },false);

 

当点击iframe事触发其变色方法，把最新颜色发送给主页面

function changeColor () {            
                var color=container.style.backgroundColor;
                if(color=='rgb(204, 102, 0)'){
                    color='rgb(204, 204, 0)';
                }else{
                    color='rgb(204,102,0)';
                }
                container.style.backgroundColor=color;
                window.parent.postMessage(color,'*');
            }

 

主页面还是利用刚才监听message事件的程序处理自身变色

window.addEventListener('message',function(e){
            var color=e.data;
            document.getElementById('color').style.backgroundColor=color;
        },false);

 

最后

很简单的用法却解决了大问题，据说Facebook已经在使用了，而且这也是html5另一个API——web workers传递消息的方法，那么它的浏览器兼容性怎么样呢？所谓浏览器兼容性几乎变成了IE几开始支持的问题了。。。不过好消息是跟localStorage一样，IE8+都支持了，只不过有些浏览器的低版本（比如FireFox4.0）并不支持window.onmessage=function(){}这种写法，所以我么最好使用事件绑定的写法，为了兼容IE，也要判断是否支持addEventListener。

 

 

 

 

附加、使用window.name来进行跨域

window对象有个name属性，该属性有个特征：即在一个窗口(window)的生命周期内,窗口载入的所有的页面都是共享一个window.name的，每个页面对window.name都有读写的权限，window.name是持久存在一个窗口载入过的所有页面中的，并不会因新页面的载入而进行重置。

比如：有一个页面a.html,它里面有这样的代码：

再看看b.html页面的代码：

a.html页面载入后3秒，跳转到了b.html页面，结果为：

我们看到在b.html页面上成功获取到了它的上一个页面a.html给window.name设置的值。如果在之后所有载入的页面都没对window.name进行修改的话，那么所有这些页面获取到的window.name的值都是a.html页面设置的那个值。当然，如果有需要，其中的任何一个页面都可以对window.name的值进行修改。注意，window.name的值只能是字符串的形式，这个字符串的大小最大能允许2M左右甚至更大的一个容量，具体取决于不同的浏览器，但一般是够用了。

上面的例子中，我们用到的页面a.html和b.html是处于同一个域的，但是即使a.html与b.html处于不同的域中，上述结论同样是适用的，这也正是利用window.name进行跨域的原理。

下面就来看一看具体是怎么样通过window.name来跨域获取数据的。还是举例说明。

比如有一个www.example.com/a.html页面,需要通过a.html页面里的js来获取另一个位于不同域上的页面www.cnblogs.com/data.html里的数据。

data.html页面里的代码很简单，就是给当前的window.name设置一个a.html页面想要得到的数据值。data.html里的代码：

那么在a.html页面中，我们怎么把data.html页面载入进来呢？显然我们不能直接在a.html页面中通过改变window.location来载入data.html页面，因为我们想要即使a.html页面不跳转也能得到data.html里的数据。答案就是在a.html页面中使用一个隐藏的iframe来充当一个中间人角色，由iframe去获取data.html的数据，然后a.html再去得到iframe获取到的数据。

充当中间人的iframe想要获取到data.html的通过window.name设置的数据，只需要把这个iframe的src设为www.cnblogs.com/data.html就行了。然后a.html想要得到iframe所获取到的数据，也就是想要得到iframe的window.name的值，还必须把这个iframe的src设成跟a.html页面同一个域才行，不然根据前面讲的同源策略，a.html是不能访问到iframe里的window.name属性的。这就是整个跨域过程。

看下a.html页面的代码：

上面的代码只是最简单的原理演示代码，你可以对使用js封装上面的过程，比如动态的创建iframe,动态的注册各种事件等等，当然为了安全，获取完数据后，还可以销毁作为代理的iframe。网上也有很多类似的现成代码，有兴趣的可以去找一下。

通过window.name来进行跨域，就是这样子的。

转载于:https://my.oschina.net/u/2247908/blog/1512305