前端常见跨域解决方案（全）
什么是跨域？
指一个域下的额文档和脚本试图请求另一个域下的资源。浏览器的同源策略造成的,是浏览器对javascript施加的安全限制。
http:// www . : 8080 / script/
协议 子域名 主域名 端口号 请求资源
当协议、子域名、主域名、端口号中任意一个不相同时，都算作不同域
什么是同源策略？
同源策略/SOP（Same origin policy）是一种约定，由Netscape公司1995年引入浏览器，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，浏览器很容易受到XSS、CSFR等攻击。所谓同源是指”协议+域名+端口”三者相同，即便两个不同的域名指向同一个ip地址，也非同源。
同源策略限制以下几种行为：
1.) Cookie、LocalStorage和 IndexDB无法读取
2.) DOM 和 Js对象无法获得
3.) AJAX 请求不能发送
常见跨域场景有？
| Url |
说明 |
是否允许通信 |
| / / / |
同一域名，不同文件或路径 |
允许 |
| :80/ / |
同一域名，不同端口 |
不允许 |
| / / |
同一域名，不同协议 |
不允许 |
| / http://190.167.1.12/ |
域名和域名对应相同ip |
不允许 |
| / / / |
主域相同，子域不同 |
不允许 |
| http:/// http:/// |
不同域名 |
不允许 |
跨域解决方案有？
1、通过jsonp跨域
jsonp缺点：只能实现get一种请求。
1、原生实现方法
<script>
Var script=(“script”);
=”text/javascript”;
//传参并指定回调执行函数为onBack
= ':80/login?user=admin&callback=Back';
(script);
// 回调执行函数
function Back(res) {
alert((res));
}
</script>
服务端返回如下（返回时即执行全局函数）：
Back({"status": true, "us": "admin"})
2、jquery ajax实现
$.ajax({
Url:’:80/login’,
Type:’get’,
dataType:’jsonp’, //请求方式为jsonp
jsoonpCallback:’Back’, //自定义回调函数名
data:{}
})
3、实现
this.$(:80/login’,{
params:{},
jsonp:’Back’
}).then((res=>{
(res);
})
后端代码示例
var querystring = require('querystring');
var http = require('http');
var server = ();
('request', function(req, res) {
var params = (('?')[1]);
var fn = ;
// jsonp返回设置
(200, { 'Content-Type': 'text/javascript' });
(fn + '(' + (params) + ')');
();
});
('80');
('Server is running at port 80...');
2、+iframe跨域
此方案仅限主域相同，子域不同的跨域应用场景。
实现原理：两个页面都通过js强制设置为基础主域，就实现了同域。
1、父窗口：（/）
<iframe id=”iframe” src=”/”></iframe>
<script>
= ‘’;
Var user = ‘admin’;
</script>
2、子窗口：（http：///）
<script>
= ‘’;
//获取父窗口变量
Alert(‘get js data from parent----->’+);
</script>
3、+iframe
1、：(http:///)
<iframe id=’iframe’ src=’http:///’ style=”display:none;”></iframe>
<script>
Var iframe = (‘iframe’);
//向传hash值
setTimeout(function(){
= +’#user=admin’;
},1000);
//开放给同域的回调方法
Function back(res){
Alert(‘data from --->’ + res);
}
</script>
2、:(http:///)
<iframe id=”iframe” src=”http:///’” style=”display:none”></ifeame>
<script>
Var iframe = (“iframe”);
//监听传来的hash值，再传给
= function(){
=+;
};
</script>
3、:(http:///)
<script>
//监听传来的hash值
= function(){
//再通过操作同域的js回调，将结果传回
(“hello:”+(“#user=”,”));
};
</script>
4、+iframe跨域
总结：通过iframe的src属性由外域转向本地域，跨域数据即由iframe的从外域传递到本地域。这个就巧妙地绕过了浏览器的跨域访问限制，但同时它又是安全操作。
1.）：(http:///)
var proxy = function(url, callback) {
var state = 0;
var iframe = ('iframe');
// 加载跨域页面
= url;
// onload事件会触发2次，第1次加载跨域页，并留存数据于
= function() {
if (state === 1) {
// 第2次onload(同域proxy页)成功后，读取同域中数据
callback();
destoryFrame();
} else if (state === 0) {
// 第1次onload(跨域页)成功后，切换到同域代理页面
= 'http:///';
state = 1;
}
};
(iframe);
// 获取数据以后销毁这个iframe，释放内存；这也保证了安全（不被其他域frame js访问）
function destoryFrame() {
('');
();
(iframe);
}
};
// 请求跨域b页面数据
proxy('http:///', function(data){
alert(data);
});
2.）：(http:///proxy….
中间代理页，与同域，内容为空即可。
3.）：(http:///)
<script>
= 'This is an2 data!';
</script>
5、PostMessage跨域
postMessage是HTML5 XMLHttpRequest Level 2中的API，且是为数不多可以跨域操作的window属性之一，它可用于解决以下方面的问题：
a.） 页面和其打开的新窗口的数据传递
b.） 多窗口之间消息传递
c.） 页面与嵌套的iframe消息传递
d.） 上面三个场景的跨域数据传递
用法：postMessage(data,origin)方法接受两个参数
data： html5规范支持任意基本类型或可复制的对象，但部分浏览器只支持字符串，所以传参时最好用()序列化。
origin： 协议+主机+端口号，也可以设置为”*”，表示可以传递给任意窗口，如果要指定和当前窗口同源的话设置为”/”。
1.）：(http:///)
<iframe id=”iframe” src=”http:///” style=”display:none;”></iframe>
<script>
Var iframe = (“iframe”);
Iframe.οnlοad=function(){
Var data={
Name:”aym”
};
//向an2传送跨域数据
((data),’http://’);
};
//向an2返回数据
(“message”,function(e){
Alert(“data from an2 --->”+);
},false);
</script>
2.）：(http:///)
<script>
// 接收an1的数据
('message', function(e) {
alert('data from an1---> ' + );
var data = ();
if (data) {
= 16;
// 处理后再发回an1
((data), 'http://');
}
}, false);
</script>
6、跨域资源共享
普通跨域请求：只服务端设置Access-Control-Allow-Origin即可，前端无须设置。
带cookie请求：前后端都需要设置字段，另外需注意：所带cookie为跨域请求接口所在域的cookie，而非当前页。
目前，所有浏览器都支持该功能(IE8+：IE8/9需要使用XDomainRequest对象来支持CORS）)，CORS也已经成为主流的跨域解决方案。
1、 前端设置：
1.）原生ajax
// 前端设置是否带cookie
= true;
示例代码：
var xhr = new XMLHttpRequest(); // IE8/9需用兼容
// 前端设置是否带cookie
= true;
('post', 'http://:8080/login', true);
('Content-Type', 'application/x-www-form-urlencoded');
('user=admin');
= function() {
if ( == 4 && == 200) {
alert();
}
};
2.）jQuery ajax
$.ajax({
...
xhrFields: {
withCredentials: true // 前端设置是否带cookie
},
crossDomain: true, // 会让请求头中包含跨域的额外信息，但不会含cookie
...
});
3.）vue框架
在vue-resource封装的ajax组件中加入以下代码：
= true
2、 服务端设置：
若后端设置成功，前端浏览器控制台则不会出现跨域报错信息，反之，说明没设成功。
1.）Java后台：
/*
* 导入包：import ;
* 接口参数中定义：HttpServletResponse response
*/
("Access-Control-Allow-Origin", "http://"); //若有端口需写全（协议+域名+端口）
("Access-Control-Allow-Credentials", "true");
2.）Nodejs后台示例：
var http = require('http');
var server = ();
var qs = require('querystring');
('request', function(req, res) {
var postData = '';
// 数据块接收中
('data', function(chunk) {
postData += chunk;
});
// 数据接收完毕
('end', function() {
postData = (postData);
// 跨域后台设置
(200, {
'Access-Control-Allow-Credentials': 'true', // 后端允许发送Cookie
'Access-Control-Allow-Origin': 'http://', // 允许访问的域（协议+域名+端口）
'Set-Cookie': 'l=a123456;Path=/;Domain=;HttpOnly' // HttpOnly:脚本无法读取cookie
});
((postData));
();
});
});
('8080');
('Server is running at port 8080...');
7、Nginx代理跨域
1、 nginx配置解决iconfont跨域
浏览器跨域访问js、css、img等常规静态资源被同源策略许可，但iconfont字体文件(eot|otf|ttf|woff|svg)例外，此时可在nginx的静态资源服务器中加入以下配置。
location / {
add_header Access-Control-Allow-Origin *;
}
2、 nginx反向代理接口跨域
跨域原理： 同源策略是浏览器的安全策略，不是HTTP协议的一部分。服务器端调用HTTP接口只是使用HTTP协议，不会执行JS脚本，不需要同源策略，也就不存在跨越问题。
实现思路：通过nginx配置一个代理服务器（域名与domain1相同，端口不同）做跳板机，反向代理访问domain2接口，并且可以顺便修改cookie中domain信息，方便当前域cookie写入，实现跨域登录。
nginx具体配置：
#proxy服务器
server {
listen 81;
server_name ;
location / {
proxy_pass http://:8080; #反向代理
proxy_cookie_domain ; #修改cookie里域名
index ;
# 当用webpack-dev-server等中间件代理接口访问nignx时，此时无浏览器参与，故没有同源限制，下面的跨域配置可不启用
add_header Access-Control-Allow-Origin http://; #当前端只跨域不带cookie时，可为*
add_header Access-Control-Allow-Credentials true;
}
}
1.)前端代码示例：
var xhr = new XMLHttpRequest();
// 前端开关：浏览器是否读写cookie
= true;
// 访问nginx中的代理服务器
('get', 'http://:81/?user=admin', true);
();
2.) Nodejs后台示例：
var http = require('http');
var server = ();
var qs = require('querystring');
('request', function(req, res) {
var params = ((2));
// 向前台写cookie
(200, {
'Set-Cookie': 'l=a123456;Path=/;Domain=;HttpOnly' // HttpOnly:脚本无法读取
});
((params));
();
});
('8080');
('Server is running at port 8080...');
8、中间件代理跨域
node中间件实现跨域代理，原理大致与nginx相同，都是通过启一个代理服务器，实现数据的转发。
1、 非vue框架的跨域（2次跨域）
利用node + express + http-proxy-middleware搭建一个proxy服务器。
1.）前端代码示例：
var xhr = new XMLHttpRequest();
// 前端开关：浏览器是否读写cookie
= true;
// 访问http-proxy-middleware代理服务器
('get', 'http://:3000/login?user=admin', true);
();
2.）中间件服务器：
var express = require('express');
var proxy = require('http-proxy-middleware');
var app = express();
('/', proxy({
// 代理跨域目标接口
target: 'http://:8080',
changeOrigin: true,
// 修改响应头信息，实现跨域并允许带cookie
onProxyRes: function(proxyRes, req, res) {
('Access-Control-Allow-Origin', 'http://');
('Access-Control-Allow-Credentials', 'true');
},
// 修改响应信息中的cookie域名
cookieDomainRewrite: '' //可以为false，表示不修改
}));
(3000);
('Proxy server is listen at port 3000...');
3.）Nodejs后台同（六：nginx）
2、 vue框架的跨域（1次跨域）
利用node + webpack + webpack-dev-server代理接口跨域。在开发环境下，由于vue渲染服务和接口代理服务都是webpack-dev-server同一个，所以页面与代理接口之间不再跨域，无须设置headers跨域信息了。
部分配置：
= {
entry: {},
module: {},
...
devServer: {
historyApiFallback: true,
proxy: [{
context: '/login',
target: 'http://:8080', // 代理跨域目标接口
changeOrigin: true,
cookieDomainRewrite: '' // 可以为false，表示不修改
}],
noInfo: true
}
}
9、webSocket协议跨域
WebSocket protocol是HTML5一种新的协议。它实现了浏览器与服务器全双工通信，同时允许跨域通讯，是server push技术的一种很好的实现。
原生WebSocket API使用起来不太方便，我们使用，它很好地封装了webSocket接口，提供了更简单、灵活的接口，也对不支持webSocket的浏览器提供了向下兼容。
1.）前端代码：
<div>user input：<input type="text"></div>
<script src="./"></script>
<script>
var socket = io('http://:8080');
// 连接成功处理
('connect', function() {
// 监听服务端消息
('message', function(msg) {
('data from server: ---> ' + msg);
});
// 监听服务端关闭
('disconnect', function() {
('Server socket has closed.');
});
});
('input')[0].onblur = function() {
();
};
</script>
2.）Nodejs socket后台：
var http = require('http');
var socket = require('');
// 启http服务
var server = (function(req, res) {
(200, {
'Content-type': 'text/html'
});
();
});
('8080');
('Server is running at port 8080...');
// 监听socket连接
(server).on('connection', function(client) {
// 接收信息
('message', function(msg) {
('hello：' + msg);
('data from client: ---> ' + msg);
});
// 断开处理
('disconnect', function() {
('Client socket has closed.');
});
});