跨域资源共享 CORS（Cross-origin resource sharing）

跨域资源共享 CORS（Cross-origin resource sharing）

一、简介

CORS需要浏览器和服务器同时支持。目前，IE浏览器不能低于IE10。其他所有浏览器都支持该功能
整个CORS通信过程，都是浏览器自动完成，不需要用户参与。对于开发者来说，CORS通信与同源的AJAX通信没有差别，代码完全一样。浏览器一旦发现AJAX请求跨源，就会自动添加一些附加的头信息，有时还会多出一次附加的请求，但用户不会有感觉。
因此，实现CORS通信的关键是服务器。只要服务器实现了CORS接口，就可以跨源通信。

二、两种请求

浏览器将CORS请求分成两类：简单请求（simple request）和非简单请求（not-so-simple request）
- 只要同时满足以下两大条件，就属于简单请求。

（1) 请求方法是以下三种方法之一：
HEAD
GET
POST
（2）请求头中的Content-Type请求头的值是下列之一
application/x-www-form-urlencoded、multipart/form-data、text/plain
（3）满足以上两个条件且未设置自定义请求头或者xhr.upload 里面未添加事件监听

• 凡是不同时满足上面三个条件，就属于非简单请求。
• 浏览器对这两种请求的处理，是不一样的。

三、简单请求

3.1 基本流程

对于简单请求，浏览器直接发出CORS请求。具体来说，就是在头信息之中，增加一个Origin字段。

Host:media.xxxx.com
Origin:http://newsky.xxxx.com

如果Origin指定的源，不在许可范围内，服务器会返回一个正常的HTTP回应。浏览器发现，这个回应的头信息没有包含Access-Control-Allow-Origin字段，就知道出错了，从而抛出一个错误，被XMLHttpRequest的onerror回调函数捕获

如果Origin指定的域名在许可范围内，服务器返回的响应，会多出几个头信息字段。

Access-Control-Allow-Credentials:true
Access-Control