题目1： 什么是同源策略
同源策略(Same origin Policy)
浏览器出于安全方面的考虑，只允许与本域下的接口交互。不同源的客户端脚本在没有明确授权的情况下，不能读写对方的资源。
本域指的是：
- 同协议：如都是 http 或者 https
- 同域名：如都是 http://jirengu.com/a 和 http://jirengu.com/b
- 同端口：如都是80端口
如：
不同源的例子：
-
http://jirengu.com/main.js 和
https://jirengu.com/a.php (协议不同) -
http://jirengu.com/main.js 和
http://bbs.jirengu.com/a.php (域名不同，域名必须完全相同才可以) -
http://jiengu.com/main.js 和
http://jirengu.com:8080/a.php (端口不同,第一个是80)
需要注意的是: 对于当前页面来说页面存放的 JS 文件的域不重要，重要的是加载该 JS 页面所在什么域
题目2： 什么是跨域？跨域有几种实现形式
概念：只要协议、域名、端口有任何一个不同，都被当作是不同的域。
跨域是指从一个域名的网页去请求另一个域名的资源。
跨域的几种方法
-
JSONP
html中script标签可以引入其他域下的js，比如引入线上的jquery库。利用这个特性，可实现跨域访问接口。需要后端支持
echo $cb . '&&' . $cb . '(' . json_encode($ret) . ')';
定义数据处理函数_fun
创建script标签，src的地址执行后端接口，最后加个参数callback=_fun
服务端在收到请求后，解析参数，计算返还数据，输出 fun(data) 字符串。
fun(data)会放到script标签做为js执行。此时会调用fun函数，将data做为参数。 -
CORS
CORS 全称是跨域资源共享（Cross-Origin Resource Sharing），是一种 ajax 跨域请求资源的方式，支持现代浏览器，IE支持10以上。 实现方式很简单，当你使用 XMLHttpRequest 发送请求时，浏览器发现该请求不符合同源策略，会给该请求加一个请求头：Origin，后台进行一系列处理，如果确定接受请求则在返回结果中加入一个响应头：Access-Control-Allow-Origin; 浏览器判断该相应头中是否包含 Origin 的值，如果有则浏览器会处理响应，我们就可以拿到响应数据，如果不包含浏览器直接驳回，这时我们无法拿到响应数据。所以 CORS 的表象是让你觉得它与同源的 ajax 请求没啥区别，代码完全一样 -
降域
- 比如把child.a.com和a.com和xxx.child.a.com都可以降域为a.com
- 实现的话需要在两个需要进行跨域的网站script都写
document.domain = 'a.com'进行降域 - 其中ajax不受降域的影响，得用
iframe在页面中引用另一个页面的这种方式 - 域名只能往下设置。比如xxx.child.a.com只能往下变成chlid.a.com或者再往下变成a.com。但是如果到了a.com就不能再回去到child.a.com、xxx.child.a.com
- 降域有安全性的问题，如果一个子域名被攻击，多个被降域的域名都会被连带。
-
postMessage
对窗口对象的onmessage事件进行监听，其它窗口可以通过postMessage方法来传递数据。postMessage方法使用两个参数：第一个参数为所发送的消息文本，但也可以是任何 JavaScript 对象（通过 JSON 转换对象为文本），第二个参数为接收消息的对象窗口的 URL 地址，可以在 URL 地址字符串中使用通配符'*'指定全部地。
题目3： JSONP 的原理是什么
<script>标签是不受同源策略的限制的，它可以载入任意地方的 JavaScript 文件，而并不要求同源。
所以 JSONP 的理念就是，我和服务端约定好一个函数名，当我请求文件的时候，服务端返回一段 JavaScript。这段 JavaScript 调用了我们约定好的函数，并且将数据当做参数传入。
非常巧合的一点（其实并不是），JSON 的数据格式和 JavaScript 语言里对象的格式正好相同。所以在我们约定的函数里面可以直接使用这个对象。
例子：
<script>
function getWeather(data) {
console.log(data);
}
</script>
<script src="http://x.y.com/xx.js">
http://x.y.com/xx.js文件内容：
getWeather({
"城市": "北京",
"天气": "大雾"
});
在我们定义了 getWeather(data)这个函数后，直接载入了 xx.js。
在这个脚本中，执行了 getWeather 函数，并传入了一个对象。然后我们在这个函数中将这个对象输出到 console 中。
这就是整个 JSONP 的流程。
题目4： CORS是什么
CORS是一个W3C标准，全称是"跨域资源共享"（Cross-origin resource sharing）。
它允许浏览器向跨源服务器，发出XMLHttpRequest请求，从而克服了AJAX只能同源使用的限制。
服务器 在响应头中设置相应的选项，浏览器如果支持这种方法的话就会将这种跨站资源请求视为合法，进而获取资源。
设置的响应头信息：
Access-Control-Allow-Origin
Access-Control-Allow-Origin: <origin> | *
origin: 被允许跨域访问这个资源的网站，* 代表全部网站。浏览器会检测这个参数，如果符合要求，才会去获取资源。
网友评论