cors在服务器还是接口_CORS服务端跨域

最新推荐文章于 2023-04-04 08:00:19 发布

叮嘱你

最新推荐文章于 2023-04-04 08:00:19 发布

阅读量240

点赞数

文章标签： cors在服务器还是接口

本文链接：https://blog.csdn.net/weixin_34489345/article/details/113004856

版权

跨域，通常情况下是说在两个不通过的域名下面无法进行正常的通信，或者说是无法获取其他域名下面的数据，这个主要的原因是，浏览器出于安全问题的考虑，采用了同源策略，通过浏览器对JS的限制，防止恶意用户获取非法的数据。比如这样的一个场景，恶意用户仿造一个银行的官网，在用户输入框中嵌套了银行的页面，如果是没有同源策略的限制，那么恶意用户则可以通过这样的一种方法来获取银行用户的卡号和登录密码，这样对于浏览器来说是没有安全性可言的。同时也可以有效的规避了大部分的XSS攻击(XSS攻击原理：通过向用户界面中注入script脚本，然后在脚本中获取用户的token等身份信息，然后将身份信息发送到恶意用户指定的地方，在正常用户还没有推出的时候，也就是token等身份信息还有效的时候，通过这些信息强制登录，将正常用户挤下系统。)

这是网上的说法，简单的说就不同域名、端口号、协议的网站是不能通信的，然而要通信，交换信息，就发生了跨域。

为什么不能通信，这里就得说到同源策略了。

服务器端需设置以下响应头：

Access-Control-Allow-Origin: | * //授权的访问源

Access-Control-Max-Age: //预检授权的有效期，单位：秒

Access-Control-Allow-Credentials: true | false //是否允许携带 Cookie

Access-Control-Allow-Methods: [, ]* //允许的请求动词

Access-Control-Allow-Headers: [, ]* //额外允许携带的请求头

Access-Control-Expose-Headers: [, ]* //额外允许访问的响应头

我们看到，Access-Control-Allow-Credentials 响应头会使浏览器允许在 Ajax 访问时携带 Cookie，但我们仍然需要对 XMLHttpRequest 设置其 withCredentials 参数，才能实现携带 Cookie 的目标。

示例代码如下：

var xhr = newXMLHttpRequest();

xhr.withCredentials= true;

注意，为了安全，标准里不允许 Access-Control-Allow-Origin: *，必须指定明确的、与请求网页一致的域名。同时，Cookie 依然遵循“同源策略”，只有用目标服务器域名设置的 Cookie 才会上传，而且使用 document.cookie 也无法读取目标服务器域名下的 Cookie。

同源策略

URL由协议、域名、端口和路径组成，如果两个URL的协议、域名和端口相同，则表示他们同源。反之就不是同源。简单的说下，这篇文章主要说的是CORS跨域的方法。

本人用的是node.js搭建的简单服务器。

首先我们创建一个文件夹server.js，接下来我们使用 http.createServer() 方法创建服务器，并使用 listen 方法绑定 8888 端口。

函数通过 request, response 参数来接收和响应数据。代码如下