【OSS最佳实践】浅谈OSS跨域功能

一、浏览器同源策略介绍

同domain（或ip）,同端口，同协议视为同一个域，一个域内的脚本仅仅具有本域内的权限，可以理解为本域脚本只能读写本域内的资源，而无法访问其它域的资源。这种安全限制称为同源策略。同源策略提升了Web前端的安全性，但牺牲了Web拓展上的灵活性。

同源策略限制的不同源之间的交互主要针对的是js中的XMLHttpRequest等请求，下面这些情况是完全不受同源策略限制。

1） 页面中的链接，重定向以及表单提交是不会受到同源策略限制的。
2） 跨域资源嵌入支持：如script，img，link，iframe等标签，但浏览器限制了Javascript不能读写加载的内容。

二、OSS支持的跨域方式cors介绍

OSS 采用的是cors标准进行允许跨域共享的，整个CORS通信过程，都是浏览器自动完成。浏览器一旦发现AJAX跨域请求，就会自动添加一些附加的头信息，有时还会多出一次附加的请求，但用户不会有感知。

1. 两种请求

浏览器将CORS请求分成两类：简单请求（simple request）和非简单请求（not-so-simple request）。
只要同时满足以下两大条件，就属于简单请求。
（1）请求方法是以下三种方法之一：

HEAD
GET
POST

（2）HTTP的头信息不超出以下几种字段：

我有几张阿里云幸运券分享给你，用券购买或者升级阿里云相应产品会有特惠惊喜哦！把想要买的产品的幸运券都领走吧！快下手，马上就要抢光了。

Accept
Accept-Language
Content-Language
Last-Event-ID
Content-Type：只限于三个值application/x-www-form-urlencoded、multipart/form-data、text/plain

凡是不同时满足上面两个条件，就属于非简单请求。
浏览器对这两种请求的处理，是不一样的。

2. 简单请求

对于简单请求，浏览器直接发出CORS请求。具体来说，就是在头信息之中，增加一个Origin字段。

下面是一个例子，浏览器发现这次跨源AJAX请求是简单请求，就自动在头信息之中，添加一个Origin字段。

原文链接