面试--跨域--cors
cors是什么
cors 跨域资源共享 Cross-origin resource sharing是一种跨域的解决方案 它允许浏览器向跨源服务器,发出XMLHttpRequest请求,从而克服了AJAX只能同源使用的限制。 但是需要浏览器的支持。
值得注意的是:
整个CORS通信过程,都是浏览器自动完成,不需要用户参与。对于开发者来说,CORS通信(只要在服务器端设置了就行)与同源的AJAX通信没有差别,代码完全一样。浏览器一旦发现是cors情况的AJAX请求跨源,就会自动添加一些附加的头信息,有时还会多出一次附加的请求,但用户不会有感觉。
浏览器对跨域资源请求的分类
浏览器将cors请求分为两类:简单请求 非简单请求。
简单请求同时满足以下两个要求:
(1) 请求方法是以下三种方法之一:
HEAD
GET
POST
(2)HTTP的头信息不超出以下几种字段:
Accept
Accept-Language
Content-Language
Last-Event-ID
Content-Type:只限于三个值application/x-www-form-urlencoded、multipart/form-data、text/plain
不能够同时满足以上两个条件的请求就是非简单请求。
浏览器发起cors简单请求
对于简单请求,浏览器直接发出CORS请求。具体来说,就是在头信息之中,增加一个Origin字段。如下就是一个浏览器发简单请求的 请求报文的头部信息
GET /cors HTTP/1.1
Origin: http://api.bob.com
Host: api.alice.com
Accept-Language: en-US
Connection: keep-alive
User-Agent: Mozilla/5.0...
上面的头信息中,Origin字段用来说明,本次请求来自哪个源(协议 + 域名 + 端口)。本实例中请求是来自 http://api.bob.com 服务器根据这个值,决定是否同意这次请求。
如果Origin指定的域名在许可范围内,服务器返回的响应,会多出几个头信息字段。
Access-Control-Allow-Origin: http://api.bob.com //必须的 请求时Origin值或者一个*
Access-Control-Allow-Credentials: true //可选的 服务器许可请求中可有Cookie,一起发给服务器。
Access-Control-Expose-Headers: FooBar //可选的 1、
Content-Type: text/html; charset=utf-8
1、XMLHttpRequest对象的getResponseHeader()方法只能拿到6个基本字段:Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma。如果想拿到其他字段,就必须在Access-Control-Expose-Headers里面指定。上面的例子指定,getResponseHeader('FooBar')可以返回FooBar字段的值
浏览器发起简单cors请求的时候自动发送cookie
浏览器发送CORS请求是默认不发送Cookie和HTTP认证信息
如果要把Cookie发到服务器,
一方面要服务器同意,指定Access-Control-Allow-Credentials字段。
var xhr = new XMLHttpRequest();
xhr.withCredentials = true;
如果在服务器返回的响应中没有以上的字段 就说明这次跨域是不成功的。
浏览器发送非简单cors请求
非简单请求是那种对服务器有特殊要求的请求,比如请求方法是PUT或DELETE,或者Content-Type字段的类型是application/json。
下面是就是一个非简单请求。
var url = 'http://api.alice.com/cors';
var xhr = new XMLHttpRequest();
xhr.open('PUT', url, true);
xhr.setRequestHeader('X-Custom-Header', 'value');
xhr.send();
发起非简单请求有如下步骤
1、 预检请求
非简单请求的CORS请求,会在正式通信之前,增加一次HTTP查询请求,称为"预检"请求(preflight)。
浏览器首先发送请求询问服务器,当前网页所在的域名是否在服务器的许可名单之中,以及可以使用哪些HTTP动词和头信息字段。只有得到肯定答复,浏览器才会发出正式的XMLHttpRequest请求,否则就报错。
浏览器发送一个非简单请求之前,就自动发出一个"预检"请求,要求服务器确认可以这样请求。下面是这个"预检"请求的HTTP头信息。
OPTIONS /cors HTTP/1.1
Origin: http://api.bob.com
Access-Control-Request-Method: PUT
Access-Control-Request-Headers: X-Custom-Header
Host: api.alice.com
Accept-Language: en-US
Connection: keep-alive
User-Agent: Mozilla/5.0...
"预检"请求用的请求方法是OPTIONS,表示这个请求是用来询问服务器支持什么请求方法的。
"预检"请求的头信息包括两个特殊字段。
(1)Access-Control-Request-Method
该字段是必须的,用来列出浏览器的CORS请求会用到哪些HTTP方法,上例是PUT。
(2)Access-Control-Request-Headers
该字段是一个逗号分隔的字符串,指定浏览器CORS请求会额外发送的头信息字段,上例是X-Custom-Header。
服务器返回的针对预检请求的响应
HTTP/1.1 200 OK
Date: Mon, 01 Dec 2008 01:15:39 GMT
Server: Apache/2.0.61 (Unix)
Access-Control-Allow-Origin: http://api.bob.com //表示哪个源可以跨域请求资源 origin的值或者*
Access-Control-Allow-Methods: GET, POST, PUT //服务器支持的所有跨域请求的方法
Access-Control-Allow-Headers: X-Custom-Header //服务器支持的所有头信息字段
Content-Type: text/html; charset=utf-8 //可选的 服务器许可请求中可有Cookie,一起发给服务器。
Content-Encoding: gzip
Content-Length: 0
Keep-Alive: timeout=2, max=100
Connection: Keep-Alive
Content-Type: text/plain
2、 浏览器的正常请求和回应
一旦服务器通过了"预检"请求,以后每次浏览器正常的CORS请求,就都跟简单请求一样,会有一个Origin头信息字段。服务器的回应,也都会有一个Access-Control-Allow-Origin头信息字段。
下面是正常的cors的http请求头部信息
PUT /cors HTTP/1.1
Origin: http://api.bob.com
Host: api.alice.com
X-Custom-Header: value
Accept-Language: en-US
Connection: keep-alive
User-Agent: Mozilla/5.0...
下面是服务器的正常响应
Access-Control-Allow-Origin: http://api.bob.com
Content-Type: text/html; charset=utf-8
cors和JSONP的比较
JSONP只支持GET请求,CORS支持所有类型的HTTP请求。JSONP的优势在于支持老式浏览器,以及可以向不支持CORS的网站请求数据。
面试--跨域--cors相关推荐
- 跨域(CORS)请求问题[No 'Access-Control-Allow-Origin' header is present on the requested resource]常见解决方案
基本概念 跨域(CORS)请求:同源策略/SOP(Same origin policy)是一种约定,由Netscape公司1995年引入浏览器,它是浏览器最核心也最基本的安全功能,如果缺少了同源策略, ...
- Node跨域cors模块,nodejs+express跨域
Node跨域cors模块 NodeJS+Express跨域 什么是CORS CORS(Cross-origin resource sharing),跨域资源共享,是一份浏览器技术的规范,用来避开浏览器 ...
- 跨域 cors 请求两次_请求两次的故事-CORS
跨域 cors 请求两次 The story of requesting twice, allow me to explain how it all began. 请求两次的故事,让我解释一下这是如何 ...
- 第5章 uin-app本地主机数据跨域(Cors)数据交互实现
开发前端App最先需要被实现的功能是:与本地主机上已经布置在IIS服务上的后端数据实现跨域(Cores)交互操作,这也是前端App作为前端工程性项目存在的根本意义和需求,因此需要首先对上一章中示例:2 ...
- k8s下使用Ingress开启跨域(CORS)
在Ingress中,跨域(CORS)的配置如下: nginx.ingress.kubernetes.io/cors-allow-headers: >-DNT,X-CustomHeader,Kee ...
- 跨域 -- cors
Origin . Host . Referer 1.1 Origin -简单请求 GET HTTP/2 Origin: https://h5test.selfshero.com Referrer Po ...
- ajax中cors解决跨域,AJAX 跨域 CORS 解决方案
两种跨域方法 在 Javascript 中跨域访问是比较常见的事情 就像现在比较流行写单页应用,而单页应用在访问 API 的时候就会有跨域的问题 要解决跨域的问题,其实也并不复杂,有两种方案可以选择 ...
- AJAX(GET POST请求、 jQuery axios 发送请求、跨域--cors、请求超时、网络异常、放弃请求、重复发送请求)
根据视频进行整理 [https://www.bilibili.com/video/BV1WC4y1b78y?p=1] 视频资料 百度网盘: 链接:[https://pan.baidu.com/s/1n ...
- .NET6之MiniAPI(十五):跨域CORS(下)
前一篇的跨域请求的方式是松宽的方式,毕竟跨域有安全风险,应尽量少的允许访问必要资源,本篇分别从请求方法,请求头和请求凭据方面了解跨域设置. 请求方法: api项目,get,post是默认访问,这里只设 ...
最新文章
- unity3d模拟树叶飘动_Unity3D独立游戏开发日记(一):动态生成树木
- 简单六步,用数据说服你的听众
- 电脑休眠和睡眠的区别_关机、睡眠、休眠的区别
- Convert.ToString和ToString的区别
- 数百万戴尔设备遭 BIOSConnect 代码执行漏洞影响
- php 和 apache的关系
- C++multiset集合
- vs2019的mfc学习
- VS 2013 所有产品密钥
- 我为什么要选软件工程专业
- pr导入srt字幕显示因文件头错误而不能打开,或pr导入字幕乱码
- uniApp微信小程序获取当前用户手机号码(前端)
- Pygame放大缩小照片
- 嫦娥二号没有拍到美国登月痕迹
- 网页HTML5--飞机大战小游戏开发--canvas的应用
- 2021年G3锅炉水处理多少分及格及G3锅炉水处理操作证考试
- 三角变换证明1的不定积分是x+C【不定积分+三角换元】
- 如何将压缩包变成一张图片
- 网站被百度K了怎么办
- 如何利用测试自动化,实现 DevOps?
热门文章
- Unity 内建数据索引
- Java是值传递还是引用传递?
- javascript专题:如何构建自己的js库
- DropDownList 控件不能触发SelectedIndexChanged 事件的另一个原因
- Cortex-A7 MPCore 架构详细介绍(九种运行模式、内核寄存器组R0~R15,有特定的名字和功能)
- 全国计算机等级考试题库二级C操作题100套(第64套)
- python堆排序算法_python 排序 堆排序
- 最常用计算机信息呼唤标准代码,计算机考试题
- 数据库查询前十条数据_西门子PLC1200组态王-Access数据库-⑨数据库查询
- 如何理解Mysql的索引及他们的原理--------二叉查找树和平衡二叉树和B树和B+树