JSONP_跨域

1. 什么是同源策略

浏览器出于安全方面的考虑，只允许与本域下的接口交互。不同源的客户端脚本在没有明确授权的情况下，不能读写对方的资源。本域指的是:
同协议：如都是http或者https
同域名：如都是http://jirengu.com/a 和http://jirengu.com/b
同端口：如都是80端口
同源例子：http://jirengu.com/a/b.js和 http://jirengu.com/index.php (同源)
不同源的例子：http://jirengu.com/main.js 和 https://jirengu.com/a.php (协议不同)
http://jirengu.com/main.js 和 http://bbs.jirengu.com/a.php (域名不同，域名必须完全相同才可以)
http://jiengu.com/main.js和 http://jirengu.com:8080/a.php (端口不同,第一个是80)
需要注意的是: 对于当前页面来说页面存放的 JS 文件的域不重要，重要的是加载该 JS 页面所在什么域

2. 什么是跨域？跨域有几种实现形式

跨域，指的是浏览器不能执行其他网站的脚本。它是由浏览器的同源策略造成的，是浏览器对javascript施加的安全限制。
跨域的实现形式:

• JSONP
  缺点:
  只能发起GET请求。
  比起AJAX，支持不够全面。无法通过注册一些事件监听函数进行其他处理。
  需确定访问的异域服务器不会返回恶意的代码。
  需注意抵御CSRF漏洞：网站通过JSONP跨域传递用户认证后的敏感信息时，攻击者可以构造恶意的JSONP调用页面，诱导被攻击者访问，以达到截取用户敏感信息的目的。
• CORS
  缺点：
  兼容性问题,在IE8/9上，需使用XDR(XDomainRequest)代替XHR。
• 降域
  缺点：
  两个网站均需要设置document.domain的值.
  安全性问题：当一个站点被攻击，相同域名的站点也会被攻击
  不可更改：一旦降域后无法逆向
• window.postMessage

3. JSONP 的原理是什么

JSONP是服务器与客户端跨源通信的常用方法。最大特点就是简单适用，老式浏览器全部支持，服务器改造非常小。

基本原理是，网页通过添加一个