Http同源限制

同源
Cookic
Document.cookic
Http返回

1.概述
1.1含义
1.2目的
1.3限制范围
2.Cookie 同源
3.iframe 和多窗口通讯
3.1片断识别符 # 穿数据 父子窗口
3.2window.postMessage()可不一样 父子窗口
3.3LocalStorage 同源父子窗口
4.AJAX 服务器和客户端之间
4.1JSONP 在script标签加callback 参数就是数据体 Get
4.2WebSocket
4.3CORS
参考连接

domcument.domain

1.概述

1.1含义

A 网页设置的 Cookie，B 网页不能打开，除非这两个网页“同源”。所谓“同源”指的是“三个相同”。

• 协议相同
• 域名相同
• 端口相同

1.2目的

同源政策的目的，是为了保证用户信息的安全，防止恶意的网站窃取数据。

设想这样一种状况：A 网站是一家银行，用户登陆之后，A 网站在用户的机器上设置了一个 Cookie，包含了一些隐私信息（好比存款总额）。用户离开 A 网站之后，又去访问 B 网站，若是没有同源限制，B 网站能够读取 A 网站的 Cookie，那么隐私信息就会泄漏。
更可怕的是，Cookie 每每用来保存用户的登陆状态，若是用户没有退出登陆，其余网站就能够冒充用户，随心所欲。
由于浏览器同时还规定，提交表单不受同源政策的限制。

1.3限制范围

1.没法读取非同源cookic.localstorage，indexesDB
.2.没法读取dom

1. 没法向非同源地址发送 AJAX 请求（能够发送，但浏览器会拒绝接受响应）。

另外，经过 JavaScript 脚本能够拿到其余窗口的window对象。若是是非同源的网页，目前容许一个窗口能够接触其余网页的window对象的九个属性和四个方法。

window.closed
window.frames
window.length
window.location
window.opener
window.parent
window.self
window.top
window.window
window.blur()
window.close()
window.focus()
window.postMessage()

上面的九个属性之中，只有window.location是可读写的，其余八个所有都是只读。并且，即便是location对象，非同源的状况下，也只容许调用location.replace方法和写入location.href属性

2.Cookie 同源

次级域名不一样的，能够改相同document.domain来共享cookic

举例来讲，A 网页的网址是http://w1.example.com/a.html，B 网页的网址是http://w2.example.com/b.html，那么只要设置相同的document.domain

注意，A 和 B 两个网页都须要设置document.domain属性，才能达到同源的目的。由于设置document.domain的同时，会把端口重置为null，所以若是只设置一个网页的document.domain，会致使两个网址的端口不一样，仍是达不到同源的目的

注意，这种方法只适用于 Cookie 和 iframe 窗口，LocalStorage 和 IndexedDB 没法经过这种方法，规避同源政策，而要使用下文介绍 PostMessage API

3.iframe 和多窗口通讯

Iframe用于在页面中嵌入页面，每一个iframe造成本身的窗口。本身的windom对象。

iframe窗口之中的脚本，能够得到父窗口和子窗口。
可是，只有在同源的状况下，父窗口和子窗口才能通讯；若是跨域，就没法拿到对方的 DOM

document
.getElementById("myIFrame")
.contentWindow
.document
// Uncaught DOMException: Blocked a frame from accessing a cross-origin frame.
上面命令中，父窗口想获取子窗口的 DOM，由于跨域致使报错。

反之亦然，子窗口获取主窗口的 DOM 也会报错。

window.parent.document.body
// 报错

对于彻底不一样源的网站，目前有两种方法，能够解决跨域窗口的通讯问题。

片断识别符（fragment identifier）
跨文档通讯API（Cross-document messaging）

3.1片断识别符 # 传数据

Url#后面的

若是只是改变片断标识符，页面不会从新刷新。

父窗口能够把信息，写入子窗口的片断标识符。

var src = originURL + '#' + data;
document.getElementById('myIFrame').src = src;

window.onhashchange = checkMessage;

function checkMessage() {
var message = window.location.hash;
// ...
}
一样的，子窗口也能够改变父窗口的片断标识符。

parent.location.href = target + '#' + hash;

3.2window.postMessage()可不一样

举例来讲，父窗口aaa.com向子窗口bbb.com发消息，调用postMessage方法就能够了

// 父窗口打开一个子窗口
var popup = window.open('http://bbb.com', 'title');
// 父窗口向子窗口发消息
popup.postMessage('Hello World!', 'http://bbb.com');
postMessage方法的第一个参数是具体的信息内容，第二个参数是接收消息的窗口的源（origin），即“协议 + 域名 + 端口”。也能够设为*，表示不限制域名，向全部窗口发送。

子窗口向父窗口发送消息的写法相似。

// 子窗口向父窗口发消息
window.opener.postMessage('Nice to see you', 'http://aaa.com');

父窗口和子窗口均可以经过message事件，监听对方的消息。

// 父窗口和子窗口均可以用下面的代码，
// 监听 message 消息
window.addEventListener('message', function (e) {
console.log(e.data);
},false);
message事件的参数是事件对象event，提供如下三个属性。

event.source：发送消息的窗口
event.origin: 消息发向的网址
event.data: 消息内容

下面的例子是，子窗口经过event.source属性引用父窗口，而后发送消息。

window.addEventListener('message', receiveMessage);
function receiveMessage(event) {
event.source.postMessage('Nice to see you!', '*');
}

3.3LocalStorage 同源

4.AJAX

除了架设服务器代理（浏览器请求同源服务器，再由后者请求外部服务），有三种方法规避这个限制。

4.1.JSONP

第一步，网页添加一个<script>元素，向服务器请求一个脚本，这不受同源政策限制，能够跨域请求。

<script src="http://api.foo.com?callback=b...;></script>
注意，请求的脚本网址有一个callback参数（?callback=bar），用来告诉服务器，客户端的回调函数名称（bar）。

第二步，服务器收到请求后，拼接一个字符串，将 JSON 数据放在函数名里面，做为字符串返回（bar({...})）。

第三步，客户端会将服务器返回的字符串，做为代码解析，由于浏览器认为，这是<script>标签请求的脚本内容。这时，客户端只要定义了bar()函数，就能在该函数体内，拿到服务器返回的 JSON 数据。

4.2.WebSocket

通讯协议
使用ws://（非加密）和wss://（加密）做为协议前缀。该协议不实行同源政策，只要服务器支持，就能够经过它进行跨源通讯

下面是一个例子，浏览器发出的 WebSocket 请求的头信息（摘自维基百科）。

GET /chat HTTP/1.1
Host: server.example.com
Upgrade: websocket
Connection: Upgrade
Sec-WebSocket-Key: x3JJHMbDL1EzLkh9GBhXDw==
Sec-WebSocket-Protocol: chat, superchat
Sec-WebSocket-Version: 13
Origin: http://example.com
上面代码中，有一个字段是Origin，表示该请求的请求源（origin），即发自哪一个域名

正是由于有了Origin这个字段，因此 WebSocket 才没有实行同源政策。由于服务器能够根据这个字段，判断是否许可本次通讯。若是该域名在白名单内，服务器就会作出以下回应。

HTTP/1.1 101 Switching Protocols
Upgrade: websocket
Connection: Upgrade
Sec-WebSocket-Accept: HSmrc0sMlYUkAGmm5OPpG2HaGWk=
Sec-WebSocket-Protocol: chat

4.3.CORS

相比 JSONP 只能发GET请求，CORS 容许任何类型的请求