浏览器--------------同源和跨越策略浅了解

文章目录

一、同源策略

二、跨域

1.jsonp

2.cors

---

一、同源策略

同源策略是一个重要的安全策略，它用于限制一个orign的文档或者它加载的脚本如何能与另一个源的资源进行交互。它能帮助阻隔恶意文档，减少可能被攻击的媒介。

在浏览器中规定两个网页的协议、域名、和端口都相同，则两个页面具有相同的源。

 具体的内容包括：

​

下表给出了与 URL http://store.company.com/dir/page.html 的源进行对比的示例:

URL	结果	原因
http://store.company.com/dir2/other.html	同源	只有路径不同
http://store.company.com/dir/inner/another.html	同源	只有路径不同
https://store.company.com/secure.html	失败	协议不同
http://store.company.com:81/dir/etc.html	失败	端口不同 ( http:// 默认端口是80)
http://news.company.com/dir/other.html	失败	主机不同

 ​

同源策略会在服务器响应请求时进行拦截。

二、跨域

因为存在浏览器同源策略，所以才会有跨域问题。与同源策略相反的就是跨域。

1.jsonp

由于 script 标签不受浏览器同源策略的影响，允许跨域引用资源。因此可以通过动态创建 script 标签，然后利用 src 属性进行跨域，这也就是 JSONP 跨域的基本原理。

优点

• 使用简便，没有兼容性问题，目前最流行的一种跨域方法。

缺点

• 只支持 GET 请求。
• 由于是从其它域中加载代码执行，因此如果其他域不安全，很可能会在响应中夹带一些恶意代码。
• 要确定 JSONP 请求是否失败并不容易。虽然 HTML5 给 script 标签新增了一个 onerror 事件处理程序，但是存在兼容性问题。

2.cors

CORS（Cross-origin resource sharing，跨域资源共享）是一个 W3C 标准，定义了在必须访问跨域资源时，浏览器与服务器应该如何沟通。CORS 背后的基本思想，就是使用自定义的 HTTP 头部让浏览器与服务器进行沟通，从而决定请求或响应是应该成功，还是应该失败。

优点

• CORS 通信与同源的 AJAX 通信没有差别，代码完全一样，容易维护。
• 支持所有类型的 HTTP 请求。

缺点

• 存在兼容性问题，特别是 IE10 以下的浏览器。
• 第一次发送非简单请求时会多一次请求。

---