django 跨域问题

一、什么是跨域请求？

跨域：

简单来说就是 A 网站的 javascript 代码试图访问 B 网站，包括提交内容和获取内容。这显然是不安全的。为此，浏览器的鼻祖：网景（Netscape）公司提出了优秀的解决方案：著名的浏览器同源策略。现在所有支持JavaScript的浏览器都会使用这个策略。

同源：域名、协议、端口均相同的网站即为同源。

流程：

当一个浏览器的两个Tab页分别打开百度和谷歌页面时，百度发起一个脚本执行，此时浏览器会检查该脚本属于哪个页面。即检查是否同源。只有和百度同源的脚本才会被执行。若非同源，在请求数据时，浏览器会在控制台报一个异常。提示拒绝访问。

二、django处理跨域请求的最佳方案

1、安装django-cors-headers

pip install django-cors-headers

2、在settings里添加应用

INSTALLED_APPS = (
    ...
    'corsheaders',
    ...
)

3、在settings里设置中间件

MIDDLEWARE = [
    'corsheaders.middleware.CorsMiddleware',
    ...
]

4、在settings里添加白名单

CORS

CORS_ORIGIN_WHITELIST = (
    '127.0.0.1:8080',
    'localhost:8080',
    'www.meiduo.site:8080',
    'api.meiduo.site:8000'
)

CORS_ALLOW_CREDENTIALS = True  # 允许携带cookie

凡是出现在白名单中的域名，都可以访问后端接口

CORS_ALLOW_CREDENTIALS 指明在跨域访问中，后端是否支持对cookie的操作。

注意：唯一需要注意的就是cors-headers的中间件CorsMiddleware在注册时必须放在django-common中间件的前一个。