跨域资源共享(CORS)
同源策略
同源策略是浏览器的一个安全策略,只允许当前页面或当前域下发送请求,如果向其他域发送请求,会被浏览器拦截
同源的意思:协议、IP地址、端口三者一致,浏览器才会认为是同一个域,三者中有一个不一致就是不同域
实例:比如说我们要通过127.0.0.1:8001/test/中的一个点击事件,提交一个ajax请求,要去拿127.0.0.1:8010/test2/的返回数据,这时候就会遇到一个问题——跨域资源共享的问题,程序的报错信息如下:
Access to XMLHttpRequest at 'http://127.0.0.1:8010/test2/' from origin 'http://127.0.0.1:8001' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource. # CORS策略已阻止从源站“http://127.0.0.1:8001”访问位于“http://127.0.0.1:8010/test2/”的xmlhttpRequest:请求的资源上不存在“访问控制允许源站”头
views.py(该程序运行的网址为http://127.0.0.1:8010/test2)
from django.shortcuts import render, HttpResponse def test2(request): return HttpResponse('这是另一个网站地址')
在127.0.0.1:8001/test/中通过ajax向127.0.0.1:8010/test2/发送GET请求,其实数据已经被拿回来了,报错的原因就是返回的数据被浏览器拦截了,这就是跨域问题的本质。那如何解决这个问题,最简单的处理方法就是在被ajax请求访问的视图函数返回的时候让它带上一个参数:response['Access-Control-Allow-Origin'] ='http://127.0.0.1:8001'
将8010端口运行的views.py做如下修改
def test2(request): response = HttpResponse('这是另一个网站地址') # 只允许一个域 response['Access-Control-Allow-Origin'] = 'http://127.0.0.1:8001' # 允许所有的域 # response['Access-Control-Allow-Origin'] = '*' return response
这时候再去通过ajax访问127.0.0.1:8010/test2/网站就不会报错了!执行效果如下:
其实,CORS有两种请求方式,以上处理的这只是简单请求
简单请求与非简单请求
简单请求必须满足的条件
# 1、请求方法是以下一种: GET POST HEAD # 2、http的头信息不超出以下几种: Accept Accept-Language Content-Language Last-Event-ID Content-Type:application/x-www-form-urlencoded、multipart/form-data、text/plain # 只限于这三个值
除了以上的所有出现的信息都是非简单请求!
那针对不同的请求会有不同的解决方法,所谓的简单请求就是只发送一次请求,而非简单请求是发送两次请求,在发送数据之前会先发一次请求用于做“预检(OPTIONS)”,只有“预检”通过后才再发送一次请求用于数据传输
预检
请求方式:OPTIONS
“预检”其实是做检查,检查如果通过则允许传输数据,检查不通过则不再发送真正想要发送的消息
如何“预检”
如果复杂请求是PUT等请求,则服务端需要设置允许某请求,否则“预检”不通过
Access-Control-Request-Method
如果复杂请求设置了请求头,则服务端需要设置允许某请求头,否则“预检”不通过
Access-Control-Request-Headers
简单请求支持跨域
服务器设置响应头:Access-Control-Allow-Origin = '域名' 或 '*'
非简单请求支持跨域
由于复杂请求时,首先会发送“预检”请求,如果“预检”成功,则发送真实数据。
- “预检”请求时,允许请求方式则需服务器设置响应头:Access-Control-Request-Method
- “预检”请求时,允许请求头则需服务器设置响应头:Access-Control-Request-Headers
在Django中解决CORS问题
可以通过上述方法在返回的结果中添加允许信息来解决简单请求,还可以在Django的中间件中处理简单请求和非简单请求
from django.utils.deprecation import MiddlewareMixin class CorsMiddleWare(MiddlewareMixin): def process_response(self,request,response):
# 非简单请求 if request.method=="OPTIONS": #可以加* response["Access-Control-Allow-Headers"]="Content-Type" response["Access-Control-Allow-Origin"] = "允许访问的URL" return response
本文来自博客园,仅供参考学习,如有不当之处还望不吝赐教,不胜感激!转载请注明原文链接:https://www.cnblogs.com/rong-z/p/10656658.html
作者:cnblogs用户