跨域 同源策略 CORS漏洞

https://blog.csdn.net/qq_38128179/article/details/84956552

一、什么是跨域
当一个请求url的协议、域名、端口三者之间任意一个与当前页面url不同即为跨域

非同源限制
【1】无法读取非同源网页的 Cookie、LocalStorage 和 IndexedDB
【2】无法接触非同源网页的 DOM
【3】无法向非同源地址发送 AJAX 请求

二、为什么会出现跨域问题：SOP同源策略
出于浏览器的同源策略限制。
同源策略（Sameoriginpolicy）是一种约定，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。可以说Web是构建在同源策略基础之上的，浏览器只是针对同源策略的一种实现。
如果Web世界没有同源策略，当你登录Gmail邮箱并打开另一个站点时，这个站点上的JavaScript就可以跨域读取你的Gmail邮箱数据，这样整个Web世界就无隐私可言了。

同源策略会阻止一个域的javascript脚本和另外一个域的内容进行交互（DOM操作、读取COOKIE等），阻止ajax跨域。

有个常见的关于同源策略的误区需要指出一下，同源策略并不限制请求的发起和响应，只是浏览器拒绝了js对响应资源的操作，这点我们抓包就可以看出来

所谓同源（即指在同一个域）就是两个页面具有相同的协议（protocol），主机（host）和端口号（port）

三、如何实现 跨域资源共享
1、CORS
CORS全称为Cro