1、jsonp:
动态创建一个script标签,src指向要跨域的url;
该接口返回一段js代码:f(data);
在前端代码里写f方法,即可接收返回来的数据。
缺点:只支持get请求;如果调用不成功也不会有回调;返回的js有风险
安全问题解决:我们只需要保证浏览器内不会明文出现<>标签,那么问题便可彻底解决。基本思路是:在服务端做一次urlencode。而在output输出decodeURIComponent(‘#####’)来规避显示尖括号。Urlencode过的字符串,只可能包含字母数字%。
2、代理:
前端调用自己本域接口——》本域接口访问外域接口——》得到返回值再返回给前端
3、CORS跨域资源共享:
在服务器端设置header,允许任何人访问,可指定访问来源和访问方式:
response.setHeader("Access-Control-Allow-Origin","http://localhost:8080");
response.setHeader("Access-Control-Allow-Methods","GET,POST,PUT,OPTIONS");
response.setHeader("Access-Control-Allow-Credentials","true");
4、nginx反向代理跨域:
在客户端的nginx配置反向代理:
如果www.a.com想访问www.b.com/hehe/haha接口,
location /apis{
rewrite ^.+hehe/?(.*)$ /$1 break;
include uwsgi_params;
proxy_pass http://b.com;
}
将会变成请求/apis/haha
5、修改document.domain来跨子域:
首先要区分主域和子域:hehe.com是主域的话,haha.hehe.com是子域,即:
主域名:由两个或两个以上的字母构成,中间由点号隔开,整个域名只有1个点号,子域名:是在主域名之下的域名,域名内容会有多个点号。
例:
在域名为主域名的页面里(即要发送跨域请求的页面),引入一个iframe,src设置为要跨域的子域的一个页面,并设置display:none;设置document.domain=主域名;
在子域的一个页面中,要设置document.domai=主域名;
在主域名页面里即可用该子域名下的url发起请求。
缺点:一旦有子域被攻击,主域名也会被影响。安全性差。