JS同源策略+跨域訪問使用詳解

這次帶給大家JS同源策略 跨域訪問使用詳解，JS同源策略 跨域訪問使用的注意事項有哪些，下面就是實戰案例，一起來看一下。

1. 什麼是同源策略

理解跨域首先必須要了解同源策略。同源策略是瀏覽器上為安全性考量實施的非常重要的安全策略。

何謂同源:

URL由協定、網域名稱、連接埠和路徑組成，如果兩個URL的協定、網域和連接埠相同，則表示他們同源。

同源策略:

瀏覽器的同源策略，限制了來自不同來源的"document"或腳本，對目前"document"讀取或設置某些屬性。 （白帽子講web安全性[1]）

從一個網域載入的腳本不允許存取另一個網域的文件屬性。

舉個例子：

例如一個惡意網站的頁面透過iframe嵌入了銀行的登入頁面（二者不同來源），如果沒有同源限制，惡意網頁上的javascript腳本就可以在 使用者登入 銀行的時候取得使用者名稱和密碼。

在瀏覽器中， 、 、 、 等標籤都可以載入跨網域資源，而不受同源限制，但瀏覽器限制了JavaScript的權限使其不能讀取、寫入載入的內容。

另外同源策略只對網頁的HTML文件做了限制，對其他載入的靜態資源如javascript、css、圖片等仍認為屬於同源。

程式碼範例（http://localhost:8080/和http://localhost:8081由於連接埠不同而不同源）：

http://localhost:8080/test.html

test same origin policy document.getElementById("test").contentDocument.body.innerHTML = "write somthing"; #http://localhost:8081/test2.html

test same origin policy Testing. 在Firefox中會得到以下錯誤：

Error: Permission denied to access property ' body'

Document物件的domain屬性存放著裝載文件的伺服器的主機名，可以設定它。

例如來自"blog.jb51.net"和來自"bbs.jb51.net"的頁面，都將document.domain設定為"jb51.net"，則來自兩個子網域的腳本即可相互訪問。

出於安全的考慮，不能設定為其他主domain，例如http://www.jb51.net/不能設定為sina.com

2. Ajax跨域

Ajax (XMLHttpRequest)請求受到同源策略的限制。

Ajax透過XMLHttpRequest能夠與遠端的伺服器進行資訊交互，另外XMLHttpRequest是一個純粹的 Javascript物件 ，這樣的交互過程，是在後台進行的，使用者不易察覺。

因此，XMLHTTP其實已經突破了原有的Javascript的安全限制。

舉個例子：

假設某網站引用了其它站點的javascript，這個站點被compromise並在javascript中加入獲取用戶輸入並透過ajax提交給其他站點，這樣就可以源源不斷收集資訊。

或某網站因為存在漏洞導致XSS注入了javascript腳本，這個腳本就可以透過ajax獲取使用者資訊並透過ajax提交給其他站點，這樣就可以源源不斷收集資訊。

如果我們又想利用XMLHTTP的無刷新非同步互動能力，又不願意公然突破Javascript的安全策略，可以選擇的方案就是為XMLHTTP加上嚴格的同源限制。

這樣的安全策略，很類似Applet的安全性策略。 IFrame的限制也只是無法存取跨域HTMLDOM中的數據，而XMLHTTP則根本上限制了跨域請求的提交。 （實際上下面提到了CORS已經放寬了限制）

隨著Ajax技術和網路服務的發展，對跨域的要求也越來越強烈。以下介紹Ajax的跨域技術。

2.1 JSONP

JSONP技术实际和Ajax没有关系。我们知道 标签可以加载跨域的javascript脚本，并且被加载的脚本和当前文档属于同一个域。因此在文档中可以调用/访问脚本中的数据和函数。如果javascript脚本中的数据是动态生成的，那么只要在文档中动态创建 标签就可以实现和服务端的数据交互。

JSONP就是利用 标签的跨域能力实现跨域数据的访问，请求动态生成的JavaScript脚本同时带一个callback函数名作为参数。其中callback函数本地文档的JavaScript函数，服务器端动态生成的脚本会产生数据，并在代码中以产生的数据为参数调用callback函数。当这段脚本加载到本地文档时，callback函数就被调用。

第一个站点的测试页面（http://localhost:8080/test.html）：

function test_handler(data) { console.log(data); } 服务器端的Javascript脚本（http://localhost:8081/test_data.js）：

test_handler('{"data": "something"}'); 为了动态实现JSONP请求，可以 使用Javascript 动态插入 标签：

// this shows dynamic script insertion var script = document.createElement('script'); script.setAttribute('src', url); // load the script document.getElementsByTagName('head')[0].appendChild(script); JSONP协议封装了上述步骤，jQuery中统一是现在AJAX中(其中data type为JSONP)：

http://localhost:8080/test?callback=test_handler

为了支持JSONP协议，服务器端必须提供特别的支持[2]，另外JSONP只支持GET请求。

2.2 Proxy

使用代理方式跨域更加直接，因为SOP的限制是浏览器实现的。如果请求不是从浏览器发起的，就不存在跨域问题了。

使用本方法跨域步骤如下：

1. 把访问其它域的请求替换为本域的请求

2. 本域的请求是服务器端的动态脚本负责转发实际的请求

各种服务器的Reverse Proxy功能都可以非常方便的实现请求的转发，如Apache httpd + mod_proxy。

Eg.

为了通过Ajax从http://localhost:8080访问http://localhost:8081/api，可以将请求发往http://localhost:8080/api。

然后利用Apache Web服务器的Reverse Proxy功能做如下配置：

ProxyPass /api http://localhost:8081/api 2.3 CORS

2.3.1 Cross origin resource sharing

“Cross-origin resource sharing (CORS) is a mechanism that allows a web page to make XMLHttpRequests to another domain. Such "cross-domain" requests would otherwise be forbidden by web browsers, per the same origin security policy. CORS defines a way in which the browser and the server can interact to determine whether or not to allow the cross-origin request. It is more powerful than only allowing same-origin requests, but it is more secure than simply allowing all such cross-origin requests.” ----Wikipedia[3]

通过在HTTP Header中加入扩展字段，服务器在相应网页头部加入字段表示允许访问的domain和HTTP method，客户端检查自己的域是否在允许列表中，决定是否处理响应。

实现的基础是JavaScript不能够操作HTTP Header。某些浏览器插件实际上是具有这个能力的。

服务器端在HTTP的响应头中加入（页面层次的控制模式）：

Access-Control-Allow-Origin: example.com Access-Control-Request-Method: GET, POST Access-Control-Allow-Headers: Content-Type, Authorization, Accept, Range, Origin Access-Control-Expose-Headers: Content-Range Access-Control-Max-Age: 3600 多个域名之间用逗号分隔，表示对所示域名提供跨域访问权限。"*"表示允许所有域名的跨域访问。

客户端可以有两种行为：

1. 发送OPTIONS请求，请求Access-Control信息。如果自己的域名在允许的访问列表中，则发送真正的请求，否则放弃请求发送。

2. 直接发送请求，然后检查response的Access-Control信息，如果自己的域名在允许的访问列表中，则读取response body，否则放弃。

本质上服务端的response内容已经到达本地，JavaScript决定是否要去读取。

Support: [Javascript Web Applications] * IE >= 8 (需要安装caveat) * Firefox >= 3 * Safari 完全支持 * Chrome 完全支持 * Opera 不支持

2.3.2 测试

测试页面http://localhost:8080/test3.html使用jquery发送Ajax请求。

testing cross sop Testing. $.ajax({ url: 'http://localhost:8000/hello', success: function(data) { alert(data); }, error: function() { alert('error'); } }); 测试Restful API(http://localhost:8000/hello/{name})使用bottle.py来host。

from bottle import route, run, response @route('/hello') def index(): return 'Hello World.' run(host='localhost', port=8000) 测试1：

测试正常的跨域请求的行为。

测试结果：

1. 跨域GET请求已经发出，请求header中带有

Origin http://localhost:8080

2. 服务器端正确给出response

3. Javascript拒绝读取数据，在firebug中发现reponse为空，并且触发error回调

测试2：

测试支持CORS的服务器的跨域请求行为。

对Restful API做如下改动，在response中加入header：

def index(): #Add CORS header# response.set_header("Access-Control-Allow-Origin", "http://localhost:8080") return 'Hello World.' 测试结果：

1. 跨域GET请求已经发出，请求header中带有

Origin http://localhost:8080

2. 服务器端正确给出response

3. 客户端正常获取数据

测试3：

测试OPTIONS请求获取CORS信息。 对客户端的Ajax请求增加header：

$.ajax({ url: 'http://localhost:8000/hello', headers: {'Content-Type': 'text/html'}, success: function(data) { alert(data); }, error: function() { alert('error'); } }); 对Restful API做如下改动：

@route('/hello', method = ['OPTIONS', 'GET']) def index(): if request.method == 'OPTIONS': return '' return 'Hello World.' 测试结果：

1. Ajax函数会首先发送OPTIONS请求 2. 针对OPTIONS请求服务器 3. 客户端发现没有CORS header后不会发送GET请求

测试4：

增加服务器端对OPTIONS方法的处理。

对Restful API做如下改动：

@route('/hello', method = ['OPTIONS', 'GET']) def index(): response.headers['Access-Control-Allow-Origin'] = 'http://localhost:8080' response.headers['Access-Control-Allow-Methods'] = 'GET, OPTIONS' response.headers['Access-Control-Allow-Headers'] = 'Origin, Accept, Content-Type' if request.method == 'OPTIONS': return '' return 'Hello World.' 测试结果：

1. Ajax函数会首先发送OPTIONS请求 2. 针对OPTIONS请求服务器 3. 客户端匹配CORS header中的allow headers and orgin后会正确发送GET请求并获取结果

测试发现，Access-Control-Allow-Headers是必须的。

CORS协议提升了Ajax的跨域能力，但也增加了风险。一旦网站被注入脚本或XSS攻击，将非常方便的获取用户信息并悄悄传递出去。

4. Cookie 同源策略

Cookie中的同源只关注域名，忽略协议和端口。所以https://localhost:8080/和http://localhost:8081/的Cookie是共享的。

5. Flash/SilverLight跨域

浏览器的各种插件也存在跨域需求。通常是通过在服务器配置crossdomain.xml[4]，设置本服务允许哪些域名的跨域访问。

客户端会首先请求此文件，如果发现自己的域名在访问列表里，就发起真正的请求，否则不发送请求。

通常crossdomain.xml放置在网站根目录。

6. 总结

互联网的发展催生了跨域访问的需求，各种跨域方法和协议满足了需求但也增加了各种风险。尤其是XSS和CSRF等攻击的盛行也得益于此。

了解这些技术背景有助于在实际项目中熟练应用并规避各种安全风险。

Reference

[1] 白帽子讲Web安全: http://www.jb51.net/books/164067.html [2] 使用 JSONP 实现跨域通信: http://www.ibm.com/developerworks/cn/web/wa-aj-jsonp1/ [3] Cross-origin resource sharing: http://en.wikipedia.org/wiki/Cross-Origin_Resource_Sharing [4] Cross-domain policy for Flash movies: http://kb2.adobe.com/cps/142/tn_14213.html

相信看了本文案例你已经掌握了方法，更多精彩请关注php中文网其它相关文章！