- 当前位置：首页 >数据库 >你不知道的CORS跨域资源共享
你不知道的CORS跨域资源共享
发布时间：2025-11-05 12:06:11 来源：云智核 作者：IT科技类资讯
了解下同源策略
源（origin）*：就是不知协议、域名和端口号； 同源： 就是跨域源相同，即协议、资源域名和端口完全相同； 同源策略：同源策略是共享浏览器的一个安全功能，不同源的不知客户端脚本在没有明确授权的情况下，不能读写对方资源； 同源策略的跨域分类：1 . DOM 同源策略：即针对于DOM，禁止对不同源页面的资源DOM进行操作;如不同域名的 iframe 是限制互相访问。
2 . XMLHttpRequest 同源策略：禁止使用 XHR 对象向不同源的共享服务器地址发起 HTTP 请求。
不受同源策略限制：1. 页面中的不知链接，重定向以及表单提交(因为表单提交，跨域数据提交到action域后，资源本身页面就和其没有关系了，共享不会管请求结果，不知后面操作都交给了action里面的跨域域)是不会受到同源策略限制的。
2. 资源的资源引入不受限制，但是js不能读写加载的内容：如嵌入到页面中的源码库<script src="..."></script>，<img>，<link>，<iframe>等
为什么要跨域限制
如果没有 DOM 同源策略：那么就没有啥xss的研究了，因为你的网站将不是你的网站，而是大家的，谁都可以写个代码操作你的网站界面 如果没有XMLHttpRequest 同源策略，那么就可以很轻易的进行CSRF（跨站请求伪造）：1. 用户登录了自己的网站页面 a.com,cookie中添加了用户标识。
2. 用户浏览了恶意页面 b.com，执行了页面中的恶意 AJAX 请求代码。
3. b.com 向 a.com发起 AJAX HTTP 请求，请求会默认把 a.com对应cookie也同时发送过去。
4. a.com从发送的 cookie 中提取用户标识，验证用户无误，response 中返回请求数据;数据就泄露了。而且由于Ajax在后台执行，这一过程用户是无法感知的。
（附）有了XMLHttpRequest 同源策略就可以限制CSRF？别忘了还有不受同源策略的：表单提交和资源引入，（安全问题下期在研究）跨域决解方案
1. JSONP 跨域：借鉴于 script 标签不受浏览器同源策略的b2b信息网影响，允许跨域引用资源；因此可以通过动态创建 script 标签，然后利用 src 属性进行跨域；
缺点：
1.所有网站都可以拿到数据，存在安全性问题，需要网站双方商议基础token的身份验证。
2.只能是GET，不能POST。
3.可能被注入恶意代码，篡改页面内容，可以采用字符串过滤来规避此问题。
2. 服务器代理：浏览器有跨域限制，但是服务器不存在跨域问题，所以可以由服务器请求所要域的资源再返回给客户端。
3. document.domain、window.name 、location.hash：借助于iframe决解DOM同源策略
4. postMessage：决解DOM同源策略，新方案
5. CORS（跨域资源共享）：这里讲的重点
CORS（跨域资源共享）
HTML5 提供的标准跨域解决方案，是一个由浏览器共同遵循的一套控制策略，通过HTTP的Header来进行交互；主要通过后端来设置CORS配置项CORS简单使用
之前说得CORS跨域，嗯嗯，后端设置Access-Control-Allow-Origin：*|[或具体的域名]就好了； 初次尝试： app.use(async(ctx,next) => { ctx.set({ "Access-Control-Allow-Origin": "http://localhost:8088" }) 发现有些请求可以成功，但是有些还是免费信息发布网会报错：
简单请求和非简单请求
浏览器发送跨域请求判断方式： 浏览器在发送跨域请求的时候，会先判断下是简单请求还是非简单请求，如果是简单请求，就先执行服务端程序，然后浏览器才会判断是否跨域； 而对于非简单请求，浏览器会在发送实际请求之前先发送一个OPTIONS的HTTP请求来判断服务器是否能接受该跨域请求；如果不能接受的话，浏览器会直接阻止接下来实际请求的发生。 什么是简单请求1. 请求方法是如下之一：
GET
HEAD
POST
2. 所有的Header都只包含如下列表中（没有自定义header）：
Cache-Control
Content-Language
Content-Type
Expires
Last-Modified
Pragma
除此之外都是非简单请求CORS非简单请求配置须知
正如上图报错显示，对于非简单请求，浏览器会先发送options预检，预检通过后才会发送真是的请求； 发送options预检请求将关于接下来的真实请求的信息给服务器： Origin：请求的源域信息 Access-Control-Request-Method：接下来的请求类型，如POST、GET等 Access-Control-Request-Headers：接下来的请求中包含的用户显式设置的Header列表 服务器端收到请求之后，会根据附带的信息来判断是否允许该跨域请求，通过Header返回信息： Access-Control-Allow-Origin：允许跨域的Origin列表 Access-Control-Allow-Methods：允许跨域的方法列表 Access-Control-Allow-Headers：允许跨域的Header列表,防止遗漏Header，因此建议没有特殊需求的情况下设置为* Access-Control-Expose-Headers：允许暴露给JavaScript代码的Header列表 Access-Control-Max-Age：浏览器预检请求缓存时间，单位为sCORS完整配置
1. koa配置CORS跨域资源共享中间件：
const cors = (origin) => { return async (ctx, next) => { ctx.set({ "Access-Control-Allow-Origin": origin, //允许的源 }) // 预检请求 if (ctx.request.method == "OPTIONS") { ctx.set({ Access-Control-Allow-Methods: OPTIONS,HEAD,DELETE,GET,PUT,POST, //支持跨域的方法 Access-Control-Allow-Headers: *, //允许的头 Access-Control-Max-Age:10000, // 预检请求缓存时间 // 如果服务器设置Access-Control-Allow-Credentials为true，那么就不能再设置Access-Control-Allow-Origin为*,必须用具体的域名 Access-Control-Allow-Credentials:true // 跨域请求携带身份信息(Credential，例如Cookie或者HTTP认证信息) }); ctx.send(null, 预检请求) } else { // 真实请求 await next() } } } export default cors 现在不管是简单请求还是非简单请求都可以跨域访问啦～跨域时如何处理cookie
cookie：我们知道http时无状态的，所以在维持用户状态时，我们一般会使用cookie；
cookie每次同源请求都会携带；但是跨域时cookie是不会进行携带发送的；
问题：由于cookie对于不同源是不能进行操作的；这就导致，服务器无法进行cookie设置，浏览器也没法携带给服务器（场景：用户登录进行登录操作后，发现响应中有set-cookie但是，浏览器cookie并没有相应的cookie）
决解：浏览器请求设置withCredentials为true即可让该跨域请求携带 Cookie；使用axios配置axios.defaults.withCredentials = true
服务器设置Access-Control-Allow-Credentials=true允许跨域请求携带 Cookie
- 传真机关机的影响及解决方法（保护环境，提高效率——传真机关机的重要性与实践）
- 解决联想台式机无法找到硬盘的教程（解决联想台式机硬盘丢失问题的简单步骤）
- 使用U盘安装电脑系统的简易教程（轻松学会U盘安装电脑系统，省时省力又方便）
- 一键启动装系统教程（教你快速安装Win7系统，让电脑焕然一新）
- 探索诺基亚X7-00的卓越表现与功能（一款引人注目的智能手机助您领略新的移动体验）
- 电脑重装系统XP系统教程（详细步骤和技巧，让你轻松重装系统）
- 大Air（颠覆认知，定义未来/大Air的魅力无法抗拒）
- 固态硬盘4K对齐教程PE，优化你的硬盘读写速度（固态硬盘4K对齐的步骤和注意事项）
- 用GTX1050Ti畅玩DNF，游戏体验如何？（一起来探讨GTX1050Ti在DNF中的表现和性能要求）
- 使用戴尔笔记本自动装系统教程（简单操作，轻松安装系统）
- 但是配置了，我的老是出现Error code 1: File not found错误，经过探索，tftpd-hpa 是一个功能增强的TFTP服务器。它提供了很多TFTP的增强功能，它已经被移植到大多数的现代UNIX系统1、sudo apt-get install tftp-hpa tftpd-hpa xinetd2、建立配置文件sudo vi /etc/xinetd.d/tftp新建文件tftptftp内容：复制代码代码如下: service tftp { disable = no socket_type = dgram protocol = udp wait = yes user = root server = /usr/sbin/in.tftpd server_args = -s /tftpboot -c per_source = 11 cps = 100 2 }注意：第九行中server_args = -s /tftpboot -c-c参数是允许上传用的，参数/tftpboot则是你的tftp目录，修改成你的目录即可，但是笔者建议在根目录下，方便3：修改配置文件/etc/default/tftpd-hpa1 sudo vim /etc/default/tftpd-hpa修改为：1 # /etc/default/tftpd-hpa2 TFTP_USERNAME=tftp3 TFTP_DIRECTORY=/tftpboot //改成你想要的那个tftpboot4 TFTP_ADDRESS=0.0.0.0:695 TFTP_OPTIONS=-l -c -s //这里是选项4：在根目录下新建tftpboot目录，并修改权限1 mkdir /tftpboot2 sudo chmod 777 -R /tftpboot5：在/tftpboot中新建一个测试文件test1 touch test6：【重要】重启服务，修改配置文件的任何地方都要重启服务1 sudo /etc/init.d/xinetd reload2 sudo /etc/init.d/xinetd restart7：测试服务tftp是否启动netstat -a|grep tftp显示 ：udp 0 0 *:tftp *:*则启动服务了8：测试tftp进入另一个目录【不是/tftpboot目录，比如用户jyg目录】cd /home/jyg测试如图：9：出现错误：【错误】Error code 0: Permission denied，是因为tftpboot文件夹没有权限，或者是要上传和下载的文件没有权限。【解决】修改权限sudo chmod 777 -R /tftpboot【错误】Error code 1: File not found，原因1：指定的文件不存在;原因2：tftpd启动参数中没有指定-c选项;原因3：目录有问题，因为安装的时候默认的tftp目录是【/var/lib/tftpboot】,您可以把test文件放在这个目录中重新测试一下，假如正确说明猜想是正确的。【解决】原因1和原因2都好解决，这里只解决原因3：重启服务或者重启系统
- U盘制作系统教程（一步步教你使用U盘给电脑安装操作系统）
- 《联想台式机换系统安装教程》（详细讲解联想台式机换系统的步骤和注意事项）
- 刀塔魔像（打造你的传奇之旅，征服战场无限乐趣）
- MegaCli这个命令可以用来监控raid状态、磁盘状况等，最近上了一批ubuntu系统跑openstack，问题是MegaCli在官网上只有rpm格式的包，没有deb的包，但是还是有办法解决的，rpm包也是可以在debian&&ubuntu上安装的。 可以到下列连接下载最新的zip文件包：http://www.lsi.com/Search/Pages/results.aspx k=MegaCLI&r=productfacet%3D%22AQxNZWdhUkFJRCBTQVMMcHJvZHVjdGZhY2V0AQJeIgIiJA%3D%3D%22%20os%3D%22AQVMaW51eAJvcwEBXgEk%22复制代码代码如下: 安装完成后执行如下命令：复制代码代码如下: 进入 8.00.48_Linux_MegaCLI.zip包所在的目录，执行如下命令：复制代码代码如下: MegaCli不但能查询raid的状态，还能设置raid的状态，所以还是由管理员掌握比较好，这样就安装完毕了。下面来列举几个常用的用法：1.查看所有物理磁盘信息复制代码代码如下:Adapter #0Enclosure Number: 1复制代码代码如下:Adapter 0-VD 0: Cache Policy:WriteBack, ReadAheadNone, Direct复制代码代码如下:Adapter 0-VD 1: Cache Policy:WriteBack, ReadAheadNone, Direct复制代码代码如下:Adapter 0-VD 0: Cache Policy:WriteBack, ReadAheadNone, Direct复制代码代码如下:Adapter 0-VD 0: Cache Policy:WriteBack, ReadAheadNone, Direct复制代码代码如下:Adapter 0-VD 0: Disk Write Cache : Disks Default复制代码代码如下:or复制代码代码如下:or复制代码代码如下:复制代码代码如下:复制代码代码如下:复制代码代码如下:复制代码代码如下:或者以动态可视化文字界面显示复制代码代码如下:复制代码代码如下:或者以动态可视化文字界面显示复制代码代码如下:复制代码代码如下:也可以指定为某个阵列的专用热备复制代码代码如下:复制代码代码如下:复制代码代码如下:复制代码代码如下:或者以动态可视化文字界面显示复制代码代码如下:MegaCli -PDRbld -ProgDsply -PhysDrv [1:5] -a0
- 轻松实现一键重装系统的台式电脑教程（简单操作快速恢复，让你的电脑重焕新生！）
- 探索以建投物联的发展与应用（数字化转型背景下的智慧建设投资）
- 精灵灯（了解精灵灯的特点与使用方法）
- 用折纸小手工做电脑（创意小玩意，让你的电脑与众不同）
- 凯音音响——音质卓越的选择（打造震撼音效，尽享音乐盛宴）
随便看看
- Copyright © 2025 Powered by 你不知道的CORS跨域资源共享,云智核 滇ICP备2023006006号-28sitemap