Ajax跨域问题

一个众所周知的问题，Ajax直接请求普通文件存在跨域无权限访问的问题。解决方法有JSONP，Flash等等。

JSONP

咱们发现，Web页面上调用js文件时不受是否跨域的影响，凡是拥有"src"这个属性的标签都拥有跨域的能力，好比<script>、<img>、<iframe>。那就是说若是要跨域访问数据，就服务端只能把数据放在js格式的文件里。恰巧咱们知道JSON能够简洁的描述复杂数据，并且JSON还被js原生支持，因此在客户端几乎能够为所欲为的处理这种格式的数据。而后客户端就能够经过与调用脚本如出一辙的方式，来调用跨域服务器上动态生成的js格式文件。客户端在对JSON文件调用成功以后，也就得到了本身所需的数据。这就造成了JSONP的基本概念。容许用户传递一个callback参数给服务端，而后服务端返回数据时会将这个callback参数做为函数名来包裹住JSON数据，这样客户端就能够随意定制本身的函数来自动处理返回数据了。

jQuery支持JSONP的调用。在另外的一个域名中指定好回调函数名称，就能够用下面的形式来就加载JSON数据。
url?callback=?
jQuery.getJSON(url + "&callback=?", function(data)  {  
  alert(data.a + data.b);  
});
服务端固然也要提供JSONP的支持，其实只要提供读写callback这个params就能够了。

跨域资源共享（CORS）

Cross-Origin Resource Sharing (CORS) 是W3c工做草案，它定义了在跨域访问资源时浏览器和服务器之间如何通讯。CORS背后的基本思想是使用自定义的HTTP头部容许浏览器和服务器相互了解对方，从而决定请求或响应成功与否。

CORS与JSONP相比，更为先进、方便和可靠。

一、 JSONP只能实现GET请求，而CORS支持全部类型的HTTP请求。
二、 使用CORS，开发者可使用普通的XMLHttpRequest发起请求和得到数据，比起JSONP有更好的错误处理。
三、 JSONP主要被老的浏览器支持，它们每每不支持CORS，而绝大多数现代浏览器都已经支持了CORS。
对一个简单的请求，没有自定义头部，要么使用GET，要么使用POST，它的主体是text/plain,请求用一个名叫Orgin的额外的头部发送。Origin头部包含请求页面的头部（协议，域名，端口），这样服务器能够很容易的决定它是否应该提供响应。
服务器端对于CORS的支持，主要就是经过设置Access-Control-Allow-Origin来进行的。
Header set Access-Control-Allow-Origin * 
为了防止XSS攻击咱们的服务器， 咱们能够限制域，好比
Access-Control-Allow-Origin: http://blog.csdn.net
不少服务都已经提供了CORS支持，好比 AWS 支持跨域资源分享功能CORS，向S3上传不须要代理。

与MVC的集成

利用mvc的filter特性，便可很轻松的处理jsonp或者cros跨域支持。首先定义2个filter：

    /// <summary>
    /// 转换请求为Jsonp格式返回数据
    /// </summary>
    public class JsonpAttribute : ActionFilterAttribute
    {
        public override void OnActionExecuted(ActionExecutedContext filterContext)
        {
            //判断是否包含Jsonp 是否来自于Ajax请求
            if (!(filterContext.Result is JsonResult))
            {
                return;
            }
            var rdto = filterContext.Result as JsonResult;
            var text = JsonConvert.SerializeObject(rdto.Data);

            var callback = filterContext.HttpContext.Request["callback"];
            text = callback != null ? callback + "(" + text + ")" : text;
            filterContext.Result = new ContentResult()
            {
                ContentType = "application/json",
                Content = text
            };
        }
    }

    /// <summary>
    /// JSON服务堆栈滤波器属性（可供网页端任意调用）
    /// </summary>
    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
    public class CORSAttribute : ActionFilterAttribute
    {
        public override void OnActionExecuted(ActionExecutedContext filterContext)
        {
            //判断返回类型是不是JsonResult
            if (filterContext.Result is JsonResult)
            {
                var jsonResult = filterContext.Result as JsonResult;
                var context = filterContext.HttpContext;
                var response = context.Response;
                response.ContentType = !string.IsNullOrEmpty(jsonResult.ContentType) ? jsonResult.ContentType : "application/json"; //设置类型为Json格式
                response.AddHeader("Access-Control-Allow-Origin", "*"); //有安全性问题，可根据实际状况修改 追加头，是网页可以异步调用能够接收
                if (jsonResult.ContentEncoding != null)
                {
                    response.ContentEncoding = jsonResult.ContentEncoding;  //设置编码格式，默认为Json
                }
            }
            base.OnActionExecuted(filterContext);
        }
    }

 在注册filter的时候，咱们将它加入全局控制器，或者应用在须要转换的控制器或Action上也能够。

ps: 全局过滤器，先添加的，最后被执行。你们留意下全局fiter的执行顺序。

 参考:http://blog.csdn.net/cloudcraft/article/details/8986798