跨域

题目1： 什么是同源策略

同源策略(Same origin Policy)
浏览器出于安全方面的考虑，只允许与本域下的接口交互。不同源的客户端脚本在没有明确授权的情况下，不能读写对方的资源。

本域指的是：

• 同协议：如都是 http 或者 https
• 同域名：如都是 http://jirengu.com/a 和 http://jirengu.com/b
• 同端口：如都是80端口

如：

• http://jirengu.com/a/b.j 和
  http://jirengu.com/index.php (同源)

不同源的例子：

• http://jirengu.com/main.js 和
  https://jirengu.com/a.php (协议不同)
• http://jirengu.com/main.js 和
  http://bbs.jirengu.com/a.php (域名不同，域名必须完全相同才可以)
• http://jiengu.com/main.js 和
  http://jirengu.com:8080/a.php (端口不同,第一个是80)
  需要注意的是: 对于当前页面来说页面存放的 JS 文件的域不重要，重要的是加载该 JS 页面所在什么域

题目2： 什么是跨域？跨域有几种实现形式

概念：只要协议、域名、端口有任何一个不同，都被当作是不同的域。
跨域是指从一个域名的网页去请求另一个域名的资源。

---

跨域的几种方法

• JSONP
  html中script标签可以引入其他域下的js，比如引入线上的jquery库。利用这个特性，可实现跨域访问接口。需要后端支持
  echo $cb . '&&' . $cb . '(' . json_encode($ret) . ')';
  定义数据处理函数_fun
  创建script标签，src的地址执行后端接口，最后加个参数callback=_fun
  服务端在收到请求后，解析参数，计算返还数据，输出 fun(data) 字符串。
  fun(data)会放到script标签做为js执行。此时会调用fun函数，将data做为参数。

• CORS
  CORS 全称是跨域资源共享（Cross-Origin Resource Sharing），是一种 ajax 跨域请求资源的方式，支持现代浏览器，IE支持10以上。 实现方式很简单，当你使用 XMLHttpRequest 发送请求时，浏览器发现该请求不符合同源策略，会给该请求加一个请求头：Origin，后台进行一系列处理，如果确定接受请求则在返回结果中加入一个响应头：Access-Control-Allow-Origin; 浏览器判断该相应头中是否包含 Origin 的值，如果有则浏览器会处理响应，我们就可以拿到响应数据，如果不包含浏览器直接驳回，这时我们无法拿到响应数据。所以 CORS 的表象是让你觉得它与同源的 ajax 请求没啥区别，代码完全一样

• 降域

  • 比如把child.a.com和a.com和xxx.child.a.com都可以降域为a.com
  • 实现的话需要在两个需要进行跨域的网站script都写document.domain = 'a.com'进行降域
  • 其中ajax不受降域的影响，得用iframe在页面中引用另一个页面的这种方式
  • 域名只能往下设置。比如xxx.child.a.com只能往下变成chlid.a.com或者再往下变成a.com。但是如果到了a.com就不能再回去到child.a.com、xxx.child.a.com
  • 降域有安全性的问题，如果一个子域名被攻击，多个被降域的域名都会被连带。

• postMessage
  对窗口对象的 onmessage 事件进行监听，其它窗口可以通过 postMessage 方法来传递数据。postMessage方法使用两个参数：第一个参数为所发送的消息文本，但也可以是任何 JavaScript 对象（通过 JSON 转换对象为文本），第二个参数为接收消息的对象窗口的 URL 地址，可以在 URL 地址字符串中使用通配符'*'指定全部地。

题目3： JSONP 的原理是什么