ajax 跨域处理

Posted 2021-08-29 noeal

一、对跨域的理解：
跨域问题来源于javascript的"同源策略"，即只有 协议+主机名+端口号 相同，则允许相互访问；也就是说JavaScript只能访问和操作自己域下的资源，不能访问和操作其他域下的资源。

跨域问题是为了阻止跨站攻击，解决跨域问题其实很简单，哪个域名要访问我？我同意就好了，就跟我们设置白名单一样的道理。

跨域问题是针对JS和Ajax的，html本身没有跨域问题。

浏览器跨域报错内容：
Failed to load http://a.a.com:8080/A/FromServlet?userName=123: No ‘Access-Control-Allow-Origin’ header is present on the requested resource. Origin ‘http://b.b.com:8080’ is therefore not allowed access.

非跨域：

http://www.name.com/a/b 调用 http://www.name.com/d/c

跨域：域名不一致

http://www.name.com/a/b 调用 http://www.artic.com/a/b

跨域：端口不一致

http://www.name.com:8080/a/b 调用 http://www.name.com:8081/d/c 

跨域：协议不同

http://www.name.com/a/b 调用 https://www.name.com/d/c 

注意：localhost和127.0.0.1虽然都指向本机，但也属于跨域。

二、前端处理跨域问题的方法：
1、响应头添加Header允许访问
2、使用 jsonp方案请求（ 只支持get请求不支持post请求）
3、httpClient内部转发
4、使用接口网关——nginx
5、使用Spring Cloud zuul接口网关

（1）响应头添加Header允许访问
目标域（服务器）设置跨域资源共享（CORS）Cross-Origin Resource Sharing，跨域访问解决方案的安全基础是基于"JavaScript无法控制该HTTP头"，需要通过目标域返回的HTTP头来授权是否允许跨域访问。

// 一般设置为：
response.addHeader('Access-Control-Allow-Origin:*');	//允许所有来源访问 
response.addHeader('Access-Control-Allow-Method:GET,POST');		//允许访问的方式

// 配置列表说明
Access-Control-Allow-Origin: <origin> | *		//设置能跨域访问我的域名，其中*号代表任意域名。

Access-Control-Allow-Methods		// 接受的请求方式 POST|GET...

Access-Control-Allow-Headers		// 运行添加的请求头部

Access-Control-Expose-Headers		// 允许客户端可以访问的头部

Access-Control-Max-Age			// 本次许可的有效时长，单位是秒

Access-Control-Allow-Credentials		//是否允许携带cookie？默认情况下值为false

（2）使用 jsonp方案请求（ 只支持get请求不支持post请求）
jsonp原理：
在同源策略下，在某个服务器下的页面是无法获取到该服务器以外的数据的，即一般的ajax是不能进行跨域请求的。但 img、iframe 、script等标签是个例外，这些标签可以通过src属性请求到其他服务器上的数据。利用 script 标签的开放策略，我们可以实现跨域请求数据，当然这需要服务器端的配合。

ajax 和 jsonp 的核心差异：
Jquery中ajax的核心是通过 XmlHttpRequest 获取非本页内容，而jsonp的核心则是动态添加 script 标签来调用服务器提供的 js脚本。

ajax 和 jsonp 的区别：
ajax：当我们正常地请求一个JSON数据的时候，服务端返回的是一串JSON类型的数据。
jsonp：而我们使用 jsonp 模式来请求数据的时候服务端返回的是一段可执行的JavaScript代码。

jsonp为什么不支持post方法：
因为jsonp 跨域的原理就是动态加载 script 标签的src，所以我们只能把参数通过 url 的方式传递，所以 jsonp 的 type 类型只能是 get ！

步骤：
① 设置dataType为jsonp
② 设置服务端接收的回调函数名（jsonp : “jsonpCallback”，），发送到后端实际为http://www.name.com/server/index?userName=644064&jsonpCallback=jQueryxxx，
然后动态加载

<script type="text/javascript" src="http://www.name.com/server/index?jsonpCallback= jQueryxxx&userName=644064"></script>

③ 后端获取get请求中的 jsonpCallback(传递参数 )，把数据通过实参的形式发送出去。
④ 构造回调函数结构

（在jquery 源码中， jsonp的实现方式是动态添加 script 标签来调用服务器提供的 js脚本。jquery 会在window对象中加载一个全局的函数，当 script 代码插入时函数执行，执行完毕后就 script 会被移除。同时jquery还对非跨域的请求进行了优化，如果这个请求是在同一个域名下那么他就会像正常的 Ajax请求一样工作。）

前端请求：

	    $.ajax({
			type : "GET",
			async : false,
			url : "http://www.name.com/server/index?userName=644064",
			dataType : "jsonp",//数据类型为jsonp  
			jsonp : "jsonpCallback",//服务端用于接收callback调用的function名的参数
			success : function(data) {
				alert(data["userName"]);
			},
			error : function() {
				alert('fail');
			}
		});

服务端配合构造回调函数：

	    // 服务端配合
        String jsonpCallback = request.getParameter("jsonpCallback");
		//构造回调函数格式jsonpCallback(数据)
		resp.getWriter().println(jsonpCallback+"("+jsonObject.toJSONString()+")");

（3）httpClient内部转发：
实现原理很简单，若想在B站点中通过Ajax访问A站点获取结果，固然有ajax跨域问题，但在B站点中访问B站点获取结果，不存在跨域问题，这种方式实际上是在B站点中ajax请求访问B站点的HttpClient，再通过HttpClient转发请求获取A站点的数据结果。但这种方式产生了两次请求，效率低，但内部请求，抓包工具无法分析，安全。

// 前端ajax请求
	   $.ajax({
			type : "GET",
			async : false,
			url : "http://b.b.com:8080/B/FromAjaxservlet?userName=644064",
			dataType : "json",
			success : function(data) {
				alert(data["userName"]);
			},
			error : function() {
				alert('fail');
			}
		});

// 服务端处理方法
@WebServlet("/FromAjaxservlet")
public class FromAjaxservlet extends HttpServlet{

protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		try {
			//创建默认连接
			CloseableHttpClient httpClient = HttpClients.createDefault();
			//创建HttpGet对象,处理get请求,转发到A站点
			HttpGet httpGet = new HttpGet("http://a.a.com:8080/A/FromServlet?userName="+req.getParameter("userName")); 
                        //执行
			CloseableHttpResponse response = httpClient.execute(httpGet);
			int code = response.getStatusLine().getStatusCode();
			//获取状态
			System.out.println("http请求结果为:"+code);
			if(code == 200){
                                //获取A站点返回的结果
				String result = EntityUtils.toString(response.getEntity());
				System.out.println(result);
                                //把结果返回给B站点
				resp.getWriter().print(result);
			}
			response.close();
			httpClient.close();
		} catch (Exception e) {
		}
	}
}

（4）使用接口网关——nginx：
www.111.com不能直接请求www.222.com的内容，可以通过nginx，根据同域名，但项目名不同进行区分。假设目标域名为 www.test.com

通过www.test.com/A访问，并通过nginx转发到 www.111.com，
通过www.test.com/B访问，并通过nginx转发到www.222.com，

nginx 配置如下：

	server {
        listen       80;
        server_name  www.test.com;
        location /A {
		    proxy_pass  http://www.111.com:81;
			index  index.html index.htm;
        }
		location /B {
		    proxy_pass  http://www.222.com:81;
			index  index.html index.htm;
        }
    }

原理：
我们访问以 www.test.com 开头且端口为80的网址，nginx 将会进行拦截匹配，若项目名为A，则分发到www.111.com:81。实际上就是通过"同源"的域名，不同的项目名进行区分，通过nginx拦截匹配，转发到对应的网址。整个过程，两次请求，第一次请求nginx服务器，第二次nginx服务器通过拦截匹配分发到对应的网址。