Zusammenfassung der domänenübergreifenden JavaScript-Methoden_Javascript-Fähigkeiten

Bei der Webentwicklung müssen Sie sich häufig mit domänenübergreifenden Problemen auseinandersetzen. Die Hauptursache für domänenübergreifende Probleme ist die Same-Origin-Richtlinie in der Browsersicherheit, beispielsweise für http://www.a.com/1. html:

1.http://www.a.com/2.html ist vom gleichen Ursprung 2. https://www.a.com/2.html stammt aufgrund unterschiedlicher Protokolle von einer anderen Quelle; 3. http://www.a.com:8080/2.html stammt aus unterschiedlichen Quellen, da die Ports unterschiedlich sind; 4. http://sub.a.com/2.html ist unterschiedlichen Ursprungs, da die Hosts unterschiedlich sind.

Im Browser können die Tags , , domänenübergreifende (nicht originale) Ressourcen laden, und die Lademethode ist tatsächlich äquivalent zu eine gewöhnliche GET-Anfrage. Der einzige Unterschied besteht darin, dass der Browser aus Sicherheitsgründen keine Lese- und Schreibvorgänge für die geladenen Ressourcen auf diese Weise zulässt und nur die Funktionen verwenden kann, die das Tag selbst haben sollte (z. B. Skriptausführung, Stil). Bewerbung usw.).

Das häufigste domänenübergreifende Problem ist der domänenübergreifende Ajax-Zugriff. Standardmäßig ist der Zugriff auf domänenübergreifende URLs über Ajax nicht möglich. Hier schreibe ich die domänenübergreifenden Methoden auf, die ich gelernt habe:

1. Serverseitiger Proxy , dazu gibt es nichts zu sagen. Der Nachteil ist, dass der Server, der die Ajax-Anfrage empfängt, standardmäßig nicht die IP und UA des Clients erhalten kann.

2. Iframe Die Verwendung von Iframe entspricht in etwa dem Öffnen einer neuen Webseite. Die spezifische domänenübergreifende Methode besteht darin, dass die von Domäne A geöffnete übergeordnete Seite einen Iframe verschachtelt, der auf Domäne B verweist Anschließend werden die Daten übermittelt. Nach Abschluss kann der Server von B Folgendes tun: ●Eine 302-Umleitungsantwort zurückgeben und das Ergebnis zurück an Domäne A weiterleiten; ●In diesem Iframe ist ein Iframe verschachtelt, der auf Domäne A verweist.

Beide haben endlich domänenübergreifende Aufrufe realisiert. Diese Methode ist funktionaler als das unten vorgestellte JSONP, da es nach Abschluss der domänenübergreifenden Aufrufe keine Probleme mit DOM-Vorgängen und JavaScript-Aufrufen untereinander gibt Einige Einschränkungen bestehen darin, dass die Ergebnisse in URL-Parametern übergeben werden müssen. Wenn die Ergebnisdaten groß sind, müssen sie aufgeteilt und übergeben werden, was sehr problematisch ist. Ein weiteres Problem wird durch den Iframe selbst verursacht Die übergeordnete Seite und der Iframe selbst unterliegen inhärenten Sicherheitsbeschränkungen.

3. Verwenden Sie Skript-Tags, um domänenübergreifend zu sein. Das Skript-Tag kann auch fremdes JavaScript laden und über eine voreingestellte Rückruffunktion interagieren. Es hat einen großen Namen: JSONP Cross-Domain. JSONP ist die Abkürzung für JSON with Padding. Es handelt sich offensichtlich um ein inoffizielles Protokoll. Warum hängt es mit JSON zusammen? Es stellt sich heraus, dass dies die Callback-Funktion ist. Eine typische Art, sie zu verwenden, besteht darin, Parameter über JSON zu übergeben, das heißt, die JSON-Daten in die Callback-Funktion zu füllen.

Es gibt viele JSONP-Dienste im Internet, die Daten bereitstellen. Dabei handelt es sich im Wesentlichen um eine domänenübergreifende Anforderung. Wenn der Rückruf in der Anforderungs-URL angegeben ist, z. B. callback=result, wird die Ergebnisfunktion nach dem Abrufen der Daten ausgeführt automatisch aufgerufen werden und die Daten beispielsweise im JSON-Format übergeben (Suche nach „Fußball“): http://ajax.googleapis.com/ajax/services/search/web?v=1.0&q=football&callback=result

Verwenden Sie JQuery, um es wie folgt aufzurufen:

Code kopieren

Der Code lautet wie folgt: $.getJSON("http://ajax.googleapis.com/ajax/services/search/web?v=1.0&q=football&callback=?",function(data){ //... });

Im Allgemeinen besteht die Einschränkung der domänenübergreifenden Methode von JSONP darin, dass sie nur GET-Anfragen verwenden kann und das Problem, wie JavaScript-Aufrufe zwischen zwei Seiten in verschiedenen Domänen durchgeführt werden, nicht lösen kann. 4. Flash-domänenübergreifend:

Es greift auf die Datei crossdomain.xml im Stammverzeichnis der Zielwebsite zu und bestimmt anhand des Inhalts in der Datei, ob dieser domänenübergreifende Zugriff zugelassen werden soll:

Code kopieren

Der Code lautet wie folgt:

5. Das ist auch eine sehr verbreitete Methode. Es kann nur eine Get-Anfrage gesendet werden Es wird die Klickzahl von Google ermittelt. 6. window.PostMessage, dies ist ein neuer Mechanismus, der HTML5 für die domänenübergreifende Kommunikation hinzugefügt wurde. Er wird nur von Firefox 3, Safari 4, IE8 und späteren Versionen unterstützt. Die Aufrufmethode zum Senden von Nachrichten an andere Fenster lautet wie folgt:

Code kopieren

Der Code lautet wie folgt: otherWindow.postMessage(message, targetOrigin); Im Empfangsfenster müssen Sie eine Ereignisverarbeitungsfunktion einrichten, um die gesendete Nachricht zu empfangen: Code kopieren Der Code lautet wie folgt: window.addEventListener("message", keepMessage, false); Funktion „receiveMessage(event)“{ If (event.origin !== "http://example.org:8080") zurück; } Beachten Sie, dass die Ursprungs- und Quellattribute der Nachricht verwendet werden müssen, um die Identität des Absenders zu überprüfen, da andernfalls eine XSS-Sicherheitsanfälligkeit auftritt. 7. Zugangskontrolle

Einige Browser unterstützen Antwortheader wie Access-Control-Allow-Origin, wie zum Beispiel:

Code kopieren Der Code lautet wie folgt: header("Access-Control-Allow-Origin: http://www.a.com"); Es legt fest, dass der domänenübergreifende Zugriff auf www.a.com zulässig ist. 8. Fenstername

Dieses Ding wurde tatsächlich schon früher als Mittel für Hacker-XSS verwendet. Sein Wesen besteht darin, dass die Seite neu geladen wird, wenn sich der Speicherort des Fensters ändert. Interessant ist jedoch, dass sich der Fenstername nicht ändert Sie können It Comes to Pass Value verwenden. Arbeiten Sie mit iframe zusammen und ändern Sie das Fensterobjekt des iframes mehrmals, um eine praktische domänenübergreifende Datenübertragung abzuschließen.

9. document.domain

Diese Methode eignet sich für die domänenübergreifende Kommunikation zwischen a.example.com und b.example.com, da sie eine gemeinsame Domäne namens example.com haben. Setzen Sie einfach document.domain auf example.com Ist die Kommunikation zwischen a.example1.com und b.example2.com, hat es keine Wahl.

10. Fragment Identitier Messaging (FIM)

Diese Methode ist sehr interessant und erfordert die Zusammenarbeit von iframe. Fragment Identitier ist der Teil nach dem Nummernzeichen (#) der URL, der häufig für die Ankerpositionierung verwendet wird. Änderungen in diesem Teil führen nicht dazu, dass die Seite nach Belieben aktualisiert wird iframe kann auch nach Belieben auf die URL des übergeordneten Fensters zugreifen, dann kann die Kommunikation zwischen den beiden durch Ändern der Fragment-Identität erreicht werden. Der Nachteil besteht darin, dass durch die Änderung der Fragment-Identität unnötige historische Datensätze generiert werden und es außerdem eine Längenbeschränkung gibt. Darüber hinaus unterstützen einige Browser das Ereignis onhashchange nicht.

11. Kreuzrahmen (CF)

Diese Methode ist eine Variante der oben genannten FIM-Methode. Die Essenz von CF und FIM wird tatsächlich in meinem Artikel „Erste Erfahrungen mit GWT“ vorgestellt (sie wird nur zur Implementierung der History- und Back-Funktionen verwendet). Der Iframe wird dynamisch erstellt und verweist auf eine fremde Domäne. Nach der Verarbeitung enthält die Fragment-ID in der URL dieses Iframes die Verarbeitungsergebnisse für den Zugriff auf die übergeordnete Seite, und die URL des Browsers ändert sich nicht.

12. Cookie P3P-Protokoll

Die Verwendung der Eigenschaften von Cookies für den domänenübergreifenden Zugriff unter dem P3P-Protokoll, um einen domänenübergreifenden Zugriff zu erreichen, ist ebenfalls ein seltsamer Trick. P3P ist ein vom W3C veröffentlichter Standard zum Schutz der Privatsphäre, der darauf abzielt, die Privatsphäre von Internetnutzern beim Surfen im Internet zu schützen. Stellen Sie den Cookie-Pfad auf „/“ ein, d. h. es gibt derzeit keine Domänenbeschränkung. Einige Browser erlauben das Lesen von Seiten mit anderen URLs, während andere dies nicht tun . Setzen Sie den P3P-Header auf den Header:

Code kopieren Der Code lautet wie folgt: P3P: CP="CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR"