跨域post请求

同源策略

定义

一段脚本 只读读取来自同一来源的窗口和文档的属性，这里同一来源指的是主机名、协议和端口号的组合。

注意

当 协议 or 子域名 or 主域名 or 端口号 任意一个不相同时，都算作不同域!!!!!

对于网络API，同源策略在发送和接收信息之间进行区分。概括地说，允许一个来源向另一个来源发送信息，但是一个来源不允许从另一个来源接收信息。禁止接收信息旨在防止恶意网站从其他网站读取机密信息，但也防止网络内容合法地阅读由其他网站提供的信息。

限制跨域写

也就是说浏览器出于安全考虑，为了避免恶意网站轻易读取其他网站显示的内容，因为该内容可能有敏感信息，例如iframe嵌套银行网页。原则上允许跨域写而限制跨域读。
然而跨域写也是很不安全的，容易导致CSRF/clickjacking攻击。浏览器已经限制了跨域读，再限制跨域写的话，那互联网的每个页面都成了孤岛。避免非法跨域写需要用到token，本文不做讨论。

考虑4种常见情况

1. 指向外部域名的link和通过表单的向外部域发起get请求是一样的，也都是允许的，点击那一刻起，浏览器的当前域名转向了目标网站，也就完全是域内写、读了。
2. 通过表单向外部域发起post请求也是允许的，理由同上，源网站无法读取目标网站的任何内容。(