辛星浅析跨域传输的CORS解决方式

    首先我们有一个概念。那就是“同源准则",也就是same-origin  policy,它要求一个站点(协议+主机+port号)来确定的脚本、XMLHttpRequest和Websocket无权去訪问还有一个站点的内容。

     假设设置不对,它一般会报错例如以下:No 'Access-Control-Allow-Origin' header is present on the requested resource。

     所谓CORS,也就是Cross-Origin  Resource  Sharing,它的基本原理是通过设置HTTP请求和返回中的header,告诉浏览器该请求是合法的。这就涉及到server和浏览器两方的设置:请求的发起(Http  Request  Header)和server对请求正确的响应(Http  Response  Header).

     我们能够使用原生的javascript来通过XMLHttpRequest或者XDomainRequest来发起请求,我们也能够通过jQuery的$.ajax()来发起XHR或者CORS请求。只是该方法不支持IE下的XDomainRequest,我们须要另外的插件来解决问题。

      当中通过jQuery调用的范例乳腺癌:

       $.ajax({

       type:'GET',

       url:'http://www.aaa.com',

       contentType:'text/plain',

       success:function(){},

        error:function(){}

        }});

        依据请求的内容不同。浏览器会须要加入相应的Header或者发起额外的请求。当中的细节都由浏览器来处理,对于用户来将是透明的。

        一般我们将CORS分为两类:(1)简单请求   (2)不是那么简单的请求

        所谓简单请求,就是请求类型必须是GET、POST、HEAD三者中的一个,请求头Header中仅仅能包括:Accept、Accept Language、Content  Language、Last Event ID、Content Type,并且Content Type仅仅接受application/x-www-form-urlencoded、multipart/form-data、text/plain这三种。

       除了上面的条件,比方PUT、DELETE或者Content Type是application/json。均为"不是那么简单的请求".这样的请求浏览器会在真实请求之前,额外发起一次类型为OPTIONS的请求(preflight  request),仅仅有server正确的响应了OPTIONS请求之后。浏览器才会发起该请求。

     对于简单请求。以下是b.com向a.com发起的一次GET请求的范例:

GET /xin   HTTP/1.1
Origin: http://b.com
Host: a.com
Accept-Language: en-US
Connection: keep-alive
User-Agent: Mozilla/5.0...
    在响应之前,当中我们的头部应该这么设置,以下是一个范例:

Access-Control-Allow-Origin: http://b.com
Access-Control-Allow-Credentials: true
Access-Control-Expose-Headers: FooBar
Content-Type: text/html; charset=utf-8

    当中Access-Control-Allow-Origin是Server同意跨域訪问的域名列表。假设我们同意随意站点请求资源,此处能够填写"*",而Access-Control-Expose-Headers能够设置返回额Header以传递数据,简单请求中同意使用的Header包含:Cache-Control,Content-Language,Content-Type。Expires。Last-Modified。Pragma。

     对于不是那么简单的去年跪求,以下是一个范例:

OPTIONS /cors HTTP/1.1
Origin: http://b.com
Access-Control-Request-Method: PUT
Access-Control-Request-Headers: X-Custom-Header
Host: a.com
Accept-Language: en-US
Connection: keep-alive
User-Agent: Mozilla/5.0...

    当中Access-Control-Request-Method代表真实请求的类型,而Access-Control-Request-Headers则代表真实请求的请求头的key内容。server在验证了这两项内容的合法性之后才会允许浏览器发起真实的请求。 

    以下是相应的响应的头部设置:

Access-Control-Allow-Origin: http://b.com
Access-Control-Allow-Methods: GET, POST, PUT
Access-Control-Allow-Headers: X-Custom-Header
Content-Type: text/html; charset=utf-8
      另一个就是Access-Control-Max-Age,它是浏览器保存的一个缓存的时间,单位是秒。在缓存过期之前,浏览器无须再次验证同一类型的请求是否合法。
   
   

       

      


posted @ 2016-03-14 17:10  zfyouxi  阅读(230)  评论(0编辑  收藏  举报