nginx跨域配置

    首先，贴上nginx work的配置

server{
listen 8099;
server_name wdm.test.cn;
location / {

　　// 没有配置OPTIONS的话，浏览器若是是自动识别协议(http or https)，那么浏览器的自动OPTIONS请求会返回不能跨域
　　if ($request_method = OPTIONS ) {
　　　　add_header Access-Control-Allow-Origin "$http_origin";
　　　　add_header Access-Control-Allow-Methods "POST, GET, PUT, OPTIONS, DELETE";
　　　　add_header Access-Control-Max-Age "3600";
　　　　add_header Access-Control-Allow-Headers "Origin, X-Requested-With, Content-Type, Accept, Authorization";
　　　　add_header Access-Control-Allow-Credentials "true";
　　　　add_header Content-Length 0;
　　　　add_header Content-Type text/plain;
　　　　return 200;
　　}
　　add_header 'Access-Control-Allow-Origin' '$http_origin';
　　add_header 'Access-Control-Allow-Credentials' 'true';
　　add_header 'Access-Control-Allow-Methods' 'GET, PUT, POST, DELETE, OPTIONS';
　　add_header 'Access-Control-Allow-Headers' 'Content-Type,*';
　　proxy_pass http://127.0.0.1:8080;
　　}
}

 

    其次，既然碰到了就想理解下为何须要这样，一开始脑壳还真钻进去了。

   如下引自知乎：

• DOM同源策略：禁止对不一样源页面DOM进行操做
• XmlHttpRequest同源策略：禁止向不一样源的地址发起HTTP请求

AJAX同源策略主要用来防止CSRF攻击。若是没有AJAX同源策略，攻击过程以下：
咱们发起的每一次HTTP请求都会全额发送request地址对应的cookie，那么

1. 用户登陆了本身的银行页面http://MyBank.com，http://MyBank.com向用户的cookie中添加用户标识
2. 用户浏览了恶意页面 http://Evil.com。执行了页面中的恶意AJAX请求代码
3. http://Evil.com向http://MyBank.com发起AJAX HTTP请求，请求同时http://MyBank.com对应cookie也同时发送过去
4. 银行页面从发送的cookie中提取用户标识，验证用户标识无误，response中返回请求数据。此时数据泄露。
5. 因为Ajax的后台执行，此时用户没有意识这一过程。

     引用内容完毕。

     从上面这段文字可知，若是在不须要服务器容许的前提下就可以进行跨域ajax请求的话，那么一个黑客网站只要你用了，那么你登陆

过的其它系统的用户信息他均可以获取获得。

 

     好吧，再引一段

        简单的说，你把Cookie托付给浏览器保存，浏览器要保证你的Cookie不被恶意网站利用。

        同源策略并不能防止DDos，由于跨域的Ajax也会被请求，若是http://Evil.com用Ajax请求http://MyBank.com，浏览器会先发出 

   请求，而且带上http://MyBank.com的Cookie。拿到http://MyBank.com的响应以后（可能有敏感数据），浏览器才会根据Header

   里的Access-Control-Allow-Origin决定是否把结果交给http://Evil.com里的脚本。（或者先发一个OPTIONS请求看一下CORS设

   置，再决定是否要发真正的请求。）

       所以浏览器只是起到了最基本的防护，在写程序的时候仍是要注意防护CSRF，好比关键操做不要用GET，POST请求要作额外的验证（

   验证码，随机数，Refer，Token）等等。

    引用完毕，， 不过有个疑问出现了，上面我提到OPTIONS是由于查询协议须要的，可是从这里来看就是去看看

跨域设置而已。但愿有懂的朋友帮忙肯定一下。

以上知乎内容转自：https://www.zhihu.com/question/20138568/answer/52659925

看下百度百科对同源策略的说法：

同源策略，它是由 Netscape提出的一个著名的 安全策略。

如今全部支持JavaScript 的浏览器都会使用这个策略。

所谓同源是指，域名，协议，端口相同。

当一个浏览器的两个tab页中分别打开来 百度和谷歌的页面

当浏览器的百度tab页执行一个脚本的时候会检查这个脚本是属于哪一个页面的，

即检查是否同源，只有和百度同源的脚本才会被执行。[1]  

若是非同源，那么在请求数据时，浏览器会在控制台中报一个异常，提示拒绝访问。

 

同源策略的精髓很简单：它认为自任何站点装载的信赖内容是不安全的。当被 浏览器半信半疑的脚本运行在 沙箱时，

它们应该只被容许访问来自同一站点的资源，而不是那些来自其它站点可能怀有恶意的资源。

 

就是说浏览器不容许你进行跨域操做，可是也开了个口子，若是某服务就是但愿你们在哪都能调用我，固然通常状况下是公司内部不一样项目之间调用

用到这种场景较为日常，否则你写个谁均可以攻击你的网站干啥呀，让别人在脚本能够调用你的服务对你的服务器而言没有用，产品也没有增大曝光率，

简直百害而无一利。

 

 顺便转转讲XSS、CSRF的博文：

http://blog.csdn.net/ghsau/article/details/17027893

http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html