什么时候适用同源政策？

Question

我对此感到非常困惑。当我几年前开始从事 Web 开发时，我记得遇到过 SOP 阻止了我的请求。

然而，从那以后我就忘记了它，并且多年来一直没有遇到它。我知道它仍然存在，但我可以在请求失败的情况下执行 $.ajax 或任何其他此类变体。我公司的页面通过多个框架向 3rd 方服务发出数十个请求，没有任何问题。

有什么关系？仅仅是现代 Web 框架和库知道如何解决它并为我处理它吗？可能是因为我多年来没有手写XMLHttpRequest，所以我不再遇到它了？ XMLHttpRequest 是否有一些选项可以解决这个问题，比如origin？

Answer 1

基本规则

同源策略适用于从页面向与网页域（包括子域）不同的域发出的任何 HTTP 调用，而不是 GET 调用。

这意味着，如果您向页面添加脚本标记、加载图像或执行任何使用 GET 方法的 HTTP 调用 - 那么您就没有问题。 另一方面，如果您尝试对另一个域使用其他方法，例如 POST、PUT、DELETE 等，则浏览器将阻止调用并引发错误。

解决方法

不过，有几种方法可以解决这个问题。

第一种是使用 GET 调用，但让对方将调用解释为其他内容。 一个很好的例子是一种称为 JSONP 的技术，在该技术中，我们向页面添加了一个脚本标记（这是一个 GET 调用），响应 GET 调用的服务器不仅返回一个常规的 JS 脚本，而是返回它返回一个“独特定制”的响应，它引用原始页面上的代码来告诉它它有一个合适的响应。

有几种模式可以实现这一点，最常见的是内置于 jQuery 中的模式，其中 GET 调用添加了一个带有函数名称的查询参数，并且返回的脚本在全局范围内调用该函数。 jQuery 监听该调用并做出相应响应。 要了解更多信息，请访问此答案：Confused on how a JSONP request works

百搭牌

解决这个问题的新方法是一种比 JSONp 更简洁的解决方案，它称为 CORS，它是浏览器和 Web 服务器之间的一种契约。 本质上，浏览器会做什么（假设它支持 CORS，旧版浏览器不支持）是，浏览器不会完全阻止“非 GET”调用，而是首先对 Web 服务器执行 OPTIONS 调用。网络服务器将查看请求并决定该客户端与它通信的“选项”（AKA 方法）。显然，默认只有一个选项：GET 调用，但您可以设置您的网络服务器以支持其他选项，例如 PUT、DELETE 等。 要了解有关 CORS 的更多信息，请查看 https://developer.mozilla.org/en-US/docs/Web/HTTP/Access_control_CORS