前端跨域方法总结

什么是 AJAX 跨域

端口不同,域名(包括子域,层级)不同,协议不同。

前端跨域

  1. 超链接、重定向、表单提交
  2. 资源引入<link>、<script>、<img>、<frame>等dom标签,还有样式中background:url()、@font-face()等文件外链
  3. 脚本请求,js发起的ajax请求、dom和js对象的跨域操作等
  • 同源策略限制以下几种行为
  1. Cookie、LocalStorage 和 IndexDB 无法读取
  2. DOM 和 Js对象无法获得
  3. AJAX 请求不能发送

跨域方法(11种)

1 jsonp,最常用的的方法,只能通过GET请求。

jsonp的原理是把接口地址当作一个外引的js文件,通过<script>标签添加到页面,添加之后会将外引文件中的代码当作JavaScript代码立即执行。

另外需要注意的是:

在https协议的网页中,无法引入http协议的css和js文件,所以无法通过JSONP跨域http。

原生实现

var script = document.createElement('script');
script.type = 'text/javascript';

// 传参并指定回调执行函数为onBack
script.src = 'http://www.domain2.com:8080/login?user=admin&callback=onBack';
document.head.appendChild(script);

// 回调执行函数
function onBack(res) {
    console.log(res);
}

服务端返回如下(返回时即执行全局函数):

onBack({"status": true, "user": "admin"})

jquery

$.ajax({
    url: 'http://www.domain2.com:8080/login',
    data: {},
    dataType: 'jsonp',
    success:function(res){
        console.log(res);
    }
});

vue

this.$http.jsonp('http://www.domain2.com:8080/login', {
    params: {},
    jsonp: 'onBack'
}).then((res) => {
    console.log(res);
})
2 document.domain

只能把document.domain设置成自身或更高一级的父域,且主域必须相同。

比如我们现在有两个页面:

处于w1.domain.com域的a.html

<iframe id="iframe" src="http://w1.domain.com/b.html"></iframe>
<script>
document.domain = 'domain.com';
var user = 'admin';
</script>

处于w2.domain.com域的b.html

<script>
document.domain = 'domain.com';
// 如果不设置document.domain,无法获取父窗口中变量
console.log(window.parent.user);
</script>
3 iframe 和 hash

现在有两个页面:

  • A页面:www.domain1.com/a.html
  • B页面:www.domain2.com/b.html

原理解释,我们在A页面通过iframe嵌入B页面,这样A可以通过添加hash把信息传给B页面,但是B页面怎么回传给A页面呢?我们在B页面当中再通过iframe嵌入一个和A页面同源的C页面,因为A和C是不需要跨域的,就成了A和B的中介:
– C页面:www.domain1.com/c.html

a.html

<iframe id="iframe" src="http://www.domain2.com/b.html" style="display:none;"></iframe>
<script>
var iframe = document.getElementById('iframe');
// 向b.html传hash值
iframe.src = iframe.src + '#value';
// 开放给同域c.html的回调方法
function onBack(res) {
    console.log(res);   // 将会输出 ‘#value’
}
</script>

b.html

<iframe id="iframe" src="http://www.domain1.com/c.html" style="display:none;"></iframe>
<script>
var iframe = document.getElementById('iframe');

// 监听a.html传来的hash值,再传给c.html
window.onhashchange = function () {
    iframe.src = iframe.src + location.hash;
};
</script>

c.html

<script>
// 监听b.html传来的hash值
window.onhashchange = function () {
    // 再通过操作同域a.html的js回调,将结果传回
    window.parent.parent.onBack(location.hash);
};
</script>
4 iframe 和 window.name

window.name值在不同的页面(甚至不同域名)加载后依旧存在,支持大量信息(2MB)。

现在有两个页面:
– A页面:www.domain1.com/a.html
– B页面:www.domain2.com/b.html
我们想在A页面读取B页面中的信息,直接是没法获取的,所以我们现在B页面中将所要取的信息赋值给window.name:

b.html

<script>
window.name = 'some message';
</script>

然后在A页面当中,加载B页面,加载完之后,在同一窗口(contentWindow)加载一个和A页面同源的C页面。这时候C页面依旧保存有B页面的window.name信息,A就可以直接读取(因为A和C是同源的,不需跨域)。

a.html

<script>
var state = 0;
var iframe = document.createElement('iframe');
// 加载跨域B页面
iframe.src = 'http://www.domain2.com/b.html';
document.body.appendChild(iframe);
// 加载完成之后去加载C页面,因为加载B和C都会触发onload事件,所以我们使用一个state变量来管理
iframe.onload = function(){
    if(state == 0){
        iframe.contentWindow.location = 'http://www.domain1.com/c.html';
        state = 1;
    }else if(state == 1){
        // state == 1 说明C页面已经加载,我们可以在同源页面调用回调函数取值了
        onBack(iframe.contentWindow.name);
    }
}

function onBack(res){
    console.log(res)
}
</script>

c.html

C页面不需要任何内容。

5 postMessage

理论上支持:

页面和新窗口数据传递

多窗口数据传递

页面与嵌套iframe数据传递

已获得多数浏览器支持,IE7-不支持,IE8-IE11支持iframe数据传递

postMessage(message,targetOrigin)接受两个参数,一个是要传递的信息,一个是允许消息接收的域名,不限制可以用 *。

message可以是字符串,也可以是Object(IE8-IE9不支持)。

假设有两个页面:

  • A页面:www.domain1.com/a.html
  • B页面:www.domain2.com/b.html

在 a.html 和 b.html 以同样的方法,编写发送(postMessage)和接收(addEventListener)代码

a.html

<iframe id="iframe" src="http://www.domain2.com/b.html" style="display:none;"></iframe>
<script>      
var iframe = document.getElementById('iframe');
iframe.onload = function() {
    // 向 b.html 发送跨域数据
    iframe.contentWindow.postMessage('some message', 'http://www.domain2.com');
};
// 接收 a.html 返回数据
window.addEventListener('message', function(res) {
    console.log(res.data);
}, false);
</script>

b.html

<script>
window.addEventListener('message', function(res) {
    console.log(res.data);
    // 收到之后,返回一些数据给 a.html
    window.parent.postMessage('some message back', 'http://www.domain1.com');
}, false);
</script>
6 CORS

普通跨域请求:后端设置 Access-Control-Allow-Origin 即可,前端无须设置。

带cookie请求:前后端都需要设置字段,另外需注意:所带cookie为跨域请求后端接口所在域的cookie,而非当前页。

IE8/9需要使用XDomainRequest对象来支持CORS。

如果不需要携带 cookie,直接在后端设置header:

Java:

response.setHeader("Access-Control-Allow-Origin", "http://www.domain1.com");
// 若有端口需写全(协议+域名+端口),可以使用 *

PHP:

header("Access-Control-Allow-Origin: http://www.domain1.com");

如果需要携带 cookie,前端设置:

原生:

xhr.withCredentials = true;

jQuery:

$.ajax({
    // ...
    xhrFields: {
        withCredentials: true   // 前端设置是否带cookie
    },
    crossDomain: true,  // 会让请求头中包含跨域的额外信息,但不会含cookie
    // ...
});

vue:

Vue.http.options.credentials = true

后端需要在header当中添加 Access-Control-Allow-Credentials,值为 true。

在 PHP 中:

header('Access-Control-Allow-Credentials', 'true');  对 
header('Access-Control-Allow-Credentials', true);错
7 Nginx 代理

跨域原理: 同源策略是浏览器的安全策略,不是HTTP协议的一部分。服务器端调用HTTP接口只是使用HTTP协议,不会执行JS脚本,不需要同源策略,也就不存在跨越问题。

实现思路:通过nginx配置一个代理服务器(域名与domain1相同,端口不同)做跳板机,反向代理访问domain2接口,并且可以顺便修改cookie中domain信息,方便当前域cookie写入,实现跨域登录。

nginx具体配置:

#proxy服务器
server {
    listen       81;
    server_name  www.domain1.com;

    location / {
        proxy_pass   http://www.domain2.com:8080;  #反向代理
        proxy_cookie_domain www.domain2.com www.domain1.com; #修改cookie里域名
        index  index.html index.htm;

        # 当用webpack-dev-server等中间件代理接口访问nignx时,此时无浏览器参与,故没有同源限制,下面的跨域配置可不启用
        add_header Access-Control-Allow-Origin http://www.domain1.com;  #当前端只跨域不带cookie时,可为*
        add_header Access-Control-Allow-Credentials true;
    }
}

1.)前端代码示例:

var xhr = new XMLHttpRequest();

// 前端开关:浏览器是否读写cookie
xhr.withCredentials = true;

// 访问nginx中的代理服务器
xhr.open('get', 'http://www.domain1.com:81/?user=admin', true);
xhr.send();

2.) Nodejs后台示例:

var http = require('http');
var server = http.createServer();
var qs = require('querystring');

server.on('request', function(req, res) {
    var params = qs.parse(req.url.substring(2));

    // 向前台写cookie
    res.writeHead(200, {
        'Set-Cookie': 'l=a123456;Path=/;Domain=www.domain2.com;HttpOnly'   // HttpOnly:脚本无法读取
    });

    res.write(JSON.stringify(params));
    res.end();
});

server.listen('8080');
console.log('Server is running at port 8080...');
8 Node 中间件代理

node中间件实现跨域代理,原理大致与nginx相同,都是通过启一个代理服务器,实现数据的转发。

1、 非vue框架的跨域(2次跨域)

利用node + express + http-proxy-middleware搭建一个proxy服务器。

1.)前端代码示例:

var xhr = new XMLHttpRequest();

// 前端开关:浏览器是否读写cookie
xhr.withCredentials = true;

// 访问http-proxy-middleware代理服务器
xhr.open('get', 'http://www.domain1.com:3000/login?user=admin', true);
xhr.send();

2.)中间件服务器:

var express = require('express');
var proxy = require('http-proxy-middleware');
var app = express();

app.use('/', proxy({
    // 代理跨域目标接口
    target: 'http://www.domain2.com:8080',
    changeOrigin: true,

    // 修改响应头信息,实现跨域并允许带cookie
    onProxyRes: function(proxyRes, req, res) {
        res.header('Access-Control-Allow-Origin', 'http://www.domain1.com');
        res.header('Access-Control-Allow-Credentials', 'true');
    },

    // 修改响应信息中的cookie域名
    cookieDomainRewrite: 'www.domain1.com'  // 可以为false,表示不修改
}));

app.listen(3000);
console.log('Proxy server is listen at port 3000...');

3.)Nodejs后台同(六:nginx)

2、 vue框架的跨域(1次跨域)

利用node + webpack + webpack-dev-server代理接口跨域。在开发环境下,由于vue渲染服务和接口代理服务都是webpack-dev-server同一个,所以页面与代理接口之间不再跨域,无须设置headers跨域信息了。

webpack.config.js部分配置:

module.exports = {
    entry: {},
    module: {},
    ...
    devServer: {
        historyApiFallback: true,
        proxy: [{
            context: '/login',
            target: 'http://www.domain2.com:8080',  // 代理跨域目标接口
            changeOrigin: true,
            cookieDomainRewrite: 'www.domain1.com'  // 可以为false,表示不修改
        }],
        noInfo: true
    }
}
9 WebSocket

WebSocket protocol是HTML5一种新的协议。它实现了浏览器与服务器全双工通信,同时允许跨域通讯,是server push技术的一种很好的实现。
原生WebSocket API使用起来不太方便,我们使用Socket.io,它很好地封装了webSocket接口,提供了更简单、灵活的接口,也对不支持webSocket的浏览器提供了向下兼容。

1.)前端代码:

<div>user input:<input type="text"></div>
<script src="./socket.io.js"></script>
<script>
var socket = io('http://www.domain2.com:8080');

// 连接成功处理
socket.on('connect', function() {
    // 监听服务端消息
    socket.on('message', function(msg) {
        console.log('data from server: ---> ' + msg);
    });

    // 监听服务端关闭
    socket.on('disconnect', function() {
        console.log('Server socket has closed.');
    });
});

document.getElementsByTagName('input')[0].onblur = function() {
    socket.send(this.value);
};
</script>

2.)Nodejs socket后台:

var http = require('http');
var socket = require('socket.io');

// 启http服务
var server = http.createServer(function(req, res) {
    res.writeHead(200, {
        'Content-type': 'text/html'
    });
    res.end();
});

server.listen('8080');
console.log('Server is running at port 8080...');

// 监听socket连接
socket.listen(server).on('connection', function(client) {
    // 接收信息
    client.on('message', function(msg) {
        client.send('hello:' + msg);
        console.log('data from client: ---> ' + msg);
    });

    // 断开处理
    client.on('disconnect', function() {
        console.log('Client socket has closed.');
    });
});
10 navigation

在IE6-IE7当中,iframe之间是共享一个window.navigation的,这个类似于window.name。

11 Flash URLLoader

放弃

您的赞助将会支持作者创作及本站运维

发表评论


TOP