cookie无法读取bdstoken_web跨域及cookie相关知识总结

之前对于跨域相关的知识一致都很零碎，正好现在的代码中用到了跨域相关的，现在来对这些知识做一个汇总整理，方便自己查看，说不定也可能对你有所帮助。

本篇主要内容如下：

• 浏览器同源策略
• http 请求跨域
• http 请求跨域解决办法
• cookie 机制
• 如何共享 cookie

浏览器同源策略

相信很多人在 web 入门时，都被跨域问题折磨的死去活来。要想完全掌握跨域就得知道为什么会有跨域这个问题出现。

简单来说跨域问题是因为浏览器的同源策略导致的。那浏览器为什么要有同源策略呢？

当然是为了安全。没有同源策略限制的浏览器环境是非常危险的(即使有了同源策略也不是百分百安全)，有兴趣的可以去了解了解CSRF和XSS攻击。

所谓的“同源”指的是“三个相同”：

• 协议相同。不能一个是 http 协议，一个是 https
• 域名相同
• 端口相同

如果非同源页面有以下限制：

• LocalStore 和 IndexDB 无法读取。这两个显然是不能读取的，但是 cookie 有点不一样，放在后面单独说明
• DOM 无法获取,比如如法在页面 A 中通过 iframe 获取异源页面 B 的 DOM
• AJAX 请求无法读取(可以发送请求，但是无法读取到请求结果。比如在页面 A 中请求异源接口 B，请求会正常发出处理，但是在页面 A 中无法获取请求结果，除非响应头 Access-Control-Allow-Headers 中允许了页面 A 的源，这样就能读取到结果)

但是这里有个例外，所有带“src”属性的标签都可以跨域加载资源，不受同源策略的限制，这样你应该可以想到一个比较古老的跨域解决方案(JSONP),同时这个特性也会被用作 CSRF 攻击。

http 请求跨域

在前端开发中经常会遇到跨域的问题，比如前后端分离中前后端部署在不同的端口上，或者在前端页面中需要向另外一个服务请求数据，这些都会被跨域所阻挡。

目前主要有以下几种办法解决跨域问题：

1. 关闭浏览器同源检查

这个太暴力，也太不安全了，不用考虑。

1. jsonp 实现跨域请求

前面说过了浏览器对于带 src 属性的标签都可以跨域的。因此 jsonp 的实现流失利用了这个特性，在页面中动态插入一个