前端跨域方法总结

什么是 AJAX 跨域

端口不同，域名（包括子域，层级）不同，协议不同。

前端跨域

超链接、重定向、表单提交
资源引入<link>、<script>、<img>、<frame>等dom标签，还有样式中background:url()、@font-face()等文件外链
脚本请求，js发起的ajax请求、dom和js对象的跨域操作等

同源策略限制以下几种行为

Cookie、LocalStorage 和 IndexDB 无法读取
DOM 和 Js对象无法获得
AJAX 请求不能发送

跨域方法(11种)

1 jsonp，最常用的的方法，只能通过GET请求。

jsonp的原理是把接口地址当作一个外引的js文件，通过<script>标签添加到页面，添加之后会将外引文件中的代码当作JavaScript代码立即执行。

另外需要注意的是：

在https协议的网页中，无法引入http协议的css和js文件，所以无法通过JSONP跨域http。

原生实现

var script = document.createElement('script');
script.type = 'text/javascript';

// 传参并指定回调执行函数为onBack
script.src = 'http://www.domain2.com:8080/login?user=admin&callback=onBack';
document.head.appendChild(script);

// 回调执行函数
function onBack(res) {
    console.log(res);
}

服务端返回如下（返回时即执行全局函数）：

onBack({"status": true, "user": "admin"})

jquery

$.ajax({
    url: 'http://www.domain2.com:8080/login',
    data: {},
    dataType: 'jsonp',
    success:function(res){
        console.log(res);
    }
});

vue

this.$http.jsonp('http://www.domain2.com:8080/login', {
    params: {},
    jsonp: 'onBack'
}).then((res) => {
    console.log(res);
})

2 document.domain

只能把document.domain设置成自身或更高一级的父域，且主域必须相同。

比如我们现在有两个页面：

处于w1.domain.com域的a.html

<iframe id="iframe" src="http://w1.domain.com/b.html"></iframe>
<script>
document.domain = 'domain.com';
var user = 'admin';
</script>

处于w2.domain.com域的b.html

<script>
document.domain = 'domain.com';
// 如果不设置document.domain，无法获取父窗口中变量
console.log(window.parent.user);
</script>

3 iframe 和 hash

现在有两个页面：

A页面：www.domain1.com/a.html
B页面：www.domain2.com/b.html

原理解释，我们在A页面通过iframe嵌入B页面，这样A可以通过添加hash把信息传给B页面，但是B页面怎么回传给A页面呢？我们在B页面当中再通过iframe嵌入一个和A页面同源的C页面，因为A和C是不需要跨域的，就成了A和B的中介：
- C页面：www.domain1.com/c.html

a.html

<iframe id="iframe" src="http://www.domain2.com/b.html" style="display:none;"></iframe>
<script>
var iframe = document.getElementById('iframe');
// 向b.html传hash值
iframe.src = iframe.src + '#value';
// 开放给同域c.html的回调方法
function onBack(res) {
    console.log(res);   // 将会输出 ‘#value’
}
</script>

b.html

<iframe id="iframe" src="http://www.domain1.com/c.html" style="display:none;"></iframe>
<script>
var iframe = document.getElementById('iframe');

// 监听a.html传来的hash值，再传给c.html
window.onhashchange = function () {
    iframe.src = iframe.src + location.hash;
};
</script>

c.html

<script>
// 监听b.html传来的hash值
window.onhashchange = function () {
    // 再通过操作同域a.html的js回调，将结果传回
    window.parent.parent.onBack(location.hash);
};
</script>

4 iframe 和 window.name

window.name值在不同的页面（甚至不同域名）加载后依旧存在，支持大量信息（2MB）。

现在有两个页面：
- A页面：www.domain1.com/a.html
- B页面：www.domain2.com/b.html
我们想在A页面读取B页面中的信息，直接是没法获取的，所以我们现在B页面中将所要取的信息赋值给window.name：

b.html

<script>
window.name = 'some message';
</script>

然后在A页面当中，加载B页面，加载完之后，在同一窗口（contentWindow）加载一个和A页面同源的C页面。这时候C页面依旧保存有B页面的window.name信息，A就可以直接读取（因为A和C是同源的，不需跨域）。

a.html

<script>
var state = 0;
var iframe = document.createElement('iframe');
// 加载跨域B页面
iframe.src = 'http://www.domain2.com/b.html';
document.body.appendChild(iframe);
// 加载完成之后去加载C页面，因为加载B和C都会触发onload事件，所以我们使用一个state变量来管理
iframe.onload = function(){
    if(state == 0){
        iframe.contentWindow.location = 'http://www.domain1.com/c.html';
        state = 1;
    }else if(state == 1){
        // state == 1 说明C页面已经加载，我们可以在同源页面调用回调函数取值了
        onBack(iframe.contentWindow.name);
    }
}

function onBack(res){
    console.log(res)
}
</script>

c.html

C页面不需要任何内容。

5 postMessage

理论上支持：

页面和新窗口数据传递

多窗口数据传递

页面与嵌套iframe数据传递

已获得多数浏览器支持，IE7-不支持，IE8-IE11支持iframe数据传递

postMessage(message,targetOrigin)接受两个参数，一个是要传递的信息，一个是允许消息接收的域名，不限制可以用 *。

message可以是字符串，也可以是Object（IE8-IE9不支持）。

假设有两个页面：

A页面：www.domain1.com/a.html
B页面：www.domain2.com/b.html

在 a.html 和 b.html 以同样的方法，编写发送（postMessage）和接收（addEventListener）代码

a.html

<iframe id="iframe" src="http://www.domain2.com/b.html" style="display:none;"></iframe>
<script>      
var iframe = document.getElementById('iframe');
iframe.onload = function() {
    // 向 b.html 发送跨域数据
    iframe.contentWindow.postMessage('some message', 'http://www.domain2.com');
};
// 接收 a.html 返回数据
window.addEventListener('message', function(res) {
    console.log(res.data);
}, false);
</script>

b.html

<script>
window.addEventListener('message', function(res) {
    console.log(res.data);
    // 收到之后，返回一些数据给 a.html
    window.parent.postMessage('some message back', 'http://www.domain1.com');
}, false);
</script>

6 CORS

普通跨域请求：后端设置 Access-Control-Allow-Origin 即可，前端无须设置。

带cookie请求：前后端都需要设置字段，另外需注意：所带cookie为跨域请求后端接口所在域的cookie，而非当前页。

IE8/9需要使用XDomainRequest对象来支持CORS。

如果不需要携带 cookie，直接在后端设置header：

Java：

response.setHeader("Access-Control-Allow-Origin", "http://www.domain1.com");
// 若有端口需写全（协议+域名+端口），可以使用 *

PHP：

header("Access-Control-Allow-Origin: http://www.domain1.com");

如果需要携带 cookie，前端设置：

原生：

xhr.withCredentials = true;

jQuery：

$.ajax({
    // ...
    xhrFields: {
        withCredentials: true   // 前端设置是否带cookie
    },
    crossDomain: true,  // 会让请求头中包含跨域的额外信息，但不会含cookie
    // ...
});

vue：

Vue.http.options.credentials = true

后端需要在header当中添加 Access-Control-Allow-Credentials，值为 true。

在 PHP 中：

header('Access-Control-Allow-Credentials', 'true');  对 
header('Access-Control-Allow-Credentials', true);错

7 Nginx 代理

跨域原理：同源策略是浏览器的安全策略，不是HTTP协议的一部分。服务器端调用HTTP接口只是使用HTTP协议，不会执行JS脚本，不需要同源策略，也就不存在跨越问题。

实现思路：通过nginx配置一个代理服务器（域名与domain1相同，端口不同）做跳板机，反向代理访问domain2接口，并且可以顺便修改cookie中domain信息，方便当前域cookie写入，实现跨域登录。

nginx具体配置：

#proxy服务器
server {
    listen       81;
    server_name  www.domain1.com;

    location / {
        proxy_pass   http://www.domain2.com:8080;  #反向代理
        proxy_cookie_domain www.domain2.com www.domain1.com; #修改cookie里域名
        index  index.html index.htm;

        # 当用webpack-dev-server等中间件代理接口访问nignx时，此时无浏览器参与，故没有同源限制，下面的跨域配置可不启用
        add_header Access-Control-Allow-Origin http://www.domain1.com;  #当前端只跨域不带cookie时，可为*
        add_header Access-Control-Allow-Credentials true;
    }
}

1.)前端代码示例：

var xhr = new XMLHttpRequest();

// 前端开关：浏览器是否读写cookie
xhr.withCredentials = true;

// 访问nginx中的代理服务器
xhr.open('get', 'http://www.domain1.com:81/?user=admin', true);
xhr.send();

2.) Nodejs后台示例：

var http = require('http');
var server = http.createServer();
var qs = require('querystring');

server.on('request', function(req, res) {
    var params = qs.parse(req.url.substring(2));

    // 向前台写cookie
    res.writeHead(200, {
        'Set-Cookie': 'l=a123456;Path=/;Domain=www.domain2.com;HttpOnly'   // HttpOnly:脚本无法读取
    });

    res.write(JSON.stringify(params));
    res.end();
});

server.listen('8080');
console.log('Server is running at port 8080...');

8 Node 中间件代理

node中间件实现跨域代理，原理大致与nginx相同，都是通过启一个代理服务器，实现数据的转发。

1、非vue框架的跨域（2次跨域）

利用node + express + http-proxy-middleware搭建一个proxy服务器。

1.）前端代码示例：

var xhr = new XMLHttpRequest();

// 前端开关：浏览器是否读写cookie
xhr.withCredentials = true;

// 访问http-proxy-middleware代理服务器
xhr.open('get', 'http://www.domain1.com:3000/login?user=admin', true);
xhr.send();

2.）中间件服务器：

var express = require('express');
var proxy = require('http-proxy-middleware');
var app = express();

app.use('/', proxy({
    // 代理跨域目标接口
    target: 'http://www.domain2.com:8080',
    changeOrigin: true,

    // 修改响应头信息，实现跨域并允许带cookie
    onProxyRes: function(proxyRes, req, res) {
        res.header('Access-Control-Allow-Origin', 'http://www.domain1.com');
        res.header('Access-Control-Allow-Credentials', 'true');
    },

    // 修改响应信息中的cookie域名
    cookieDomainRewrite: 'www.domain1.com'  // 可以为false，表示不修改
}));

app.listen(3000);
console.log('Proxy server is listen at port 3000...');

3.）Nodejs后台同（六：nginx）

2、 vue框架的跨域（1次跨域）

利用node + webpack + webpack-dev-server代理接口跨域。在开发环境下，由于vue渲染服务和接口代理服务都是webpack-dev-server同一个，所以页面与代理接口之间不再跨域，无须设置headers跨域信息了。

webpack.config.js部分配置：

module.exports = {
    entry: {},
    module: {},
    ...
    devServer: {
        historyApiFallback: true,
        proxy: [{
            context: '/login',
            target: 'http://www.domain2.com:8080',  // 代理跨域目标接口
            changeOrigin: true,
            cookieDomainRewrite: 'www.domain1.com'  // 可以为false，表示不修改
        }],
        noInfo: true
    }
}

9 WebSocket

WebSocket protocol是HTML5一种新的协议。它实现了浏览器与服务器全双工通信，同时允许跨域通讯，是server push技术的一种很好的实现。
原生WebSocket API使用起来不太方便，我们使用Socket.io，它很好地封装了webSocket接口，提供了更简单、灵活的接口，也对不支持webSocket的浏览器提供了向下兼容。

1.）前端代码：

<div>user input：<input type="text"></div>
<script src="./socket.io.js"></script>
<script>
var socket = io('http://www.domain2.com:8080');

// 连接成功处理
socket.on('connect', function() {
    // 监听服务端消息
    socket.on('message', function(msg) {
        console.log('data from server: ---> ' + msg);
    });

    // 监听服务端关闭
    socket.on('disconnect', function() {
        console.log('Server socket has closed.');
    });
});

document.getElementsByTagName('input')[0].onblur = function() {
    socket.send(this.value);
};
</script>

2.）Nodejs socket后台：

var http = require('http');
var socket = require('socket.io');

// 启http服务
var server = http.createServer(function(req, res) {
    res.writeHead(200, {
        'Content-type': 'text/html'
    });
    res.end();
});

server.listen('8080');
console.log('Server is running at port 8080...');

// 监听socket连接
socket.listen(server).on('connection', function(client) {
    // 接收信息
    client.on('message', function(msg) {
        client.send('hello：' + msg);
        console.log('data from client: ---> ' + msg);
    });

    // 断开处理
    client.on('disconnect', function() {
        console.log('Client socket has closed.');
    });
});

10 navigation

在IE6-IE7当中，iframe之间是共享一个window.navigation的，这个类似于window.name。

11 Flash URLLoader

放弃

您的赞助将会支持作者创作及本站运维

Mukti

前端跨域方法总结

什么是 AJAX 跨域

前端跨域

跨域方法(11种)

1 jsonp，最常用的的方法，只能通过GET请求。

2 document.domain

3 iframe 和 hash

4 iframe 和 window.name

5 postMessage

6 CORS

7 Nginx 代理

8 Node 中间件代理

9 WebSocket

10 navigation

11 Flash URLLoader

发表评论

搜索文章

邮件订阅

分类

归档

其他操作

链接表

资源链接