当你遇到跨域问题，不要立刻就选择复制去尝试。请详细看完这篇文章再处理 。我相信它能帮到你。
点击关注公众号，Java干货及时送达 来源：酒香逢 地址：www.cnblogs.com/fnz0/p/15803011.html 当你遇到跨域问题，不要立刻就选择复制去尝试，请详细看完这篇文章再处理，我相信它能帮到你。 分析前准备： 前端网站地址：http://localhost:8080 服务端网址：http://localhost:59200 首先保证服务端是没有处理跨域的，其次，先用postman测试服务端接口是正常的 当网站8080去访问服务端接口时，就产生了跨域问题，那么如何解决？接下来我
本文主要介绍了跨域资源共享（CORS）的相关知识，包括CORS的工作原理、服务器端如何配置支持CORS、如何发起跨域请求以及如何处理响应等。此外，还提供了关于浏览器对CORS请求的处理流程和可能遇到的错误情况的说明。
页面中常常会有需要跨域通信的需求实现，我们知道浏览器的同源策略是不允许不同域之间的相互通信的（这里不深究域的定义及如何才算跨域），比如a.com有b.com想要的数据，那么在b.com页面中发送ajax请求到a.com是不允许的，相信大家都知道一些跨域通信的实现方法：
跨来源资源共享（Cross-Origin Resource Sharing（CORS））是一种使用额外 HTTP 标头来让目前浏览网站的 user agent 能获得访问不同来源（网域）服务器特定资源之权限的机制。当 user agent 请求一个不是目前文件来源——来自于不同网域（domain）、通信协定（protocol）或通信端口（port）的资源时，会建立一个跨来源HTTP请求（cross-origin HTTP request）。
Request header field content-type is not allowed by Access-Control-Allow-Headers in preflight response
不同源下，浏览器不允许js操作Cookie、LocalStorage、DOM等数据或页面元素，也不允许发送ajax请求，同源下则不受影响。
同源策略是一个安全策略。同源，指的是协议，域名，端口相同。浏览器处于安全方面的考虑，只允许本域名下的接口交互，不同源的客户端脚本，在没有明确授权的情况下，不能读写对方的资源。
在前后端分离项目中，跨域问题是一定会遇到的。跨域问题的出现，会导致css、js或者ajax对后端请求等资源无法访问的情况。
注意：本文分享给安全从业人员、网站开发人员以及运维人员在日常工作防范恶意攻击,请勿恶意使用下面介绍技术进行非法攻击操作。。
请求的url地址,必须与浏览器上的url地址处于同域上,也就是域名,端口,协议相同，只要协议、域名和端口任意一个不同，都是跨域请求。
注意：本文分享给安全从业人员,网站开发人员和运维人员在日常工作中使用和防范恶意攻击,请勿恶意使用下面描述技术进行非法操作。
在制作项目中，难免会遇到有跨域问题，需要增加指定响应头来满足跨域的需求。但ThinkPHP5.1版本的手册中，对跨域怎么设置提供的方法比较局限，所以这里经过研究，总结出了几种办法，推荐使用第三种。
CORS 或跨域资源共享是一种 http 机制，它允许用户通过使用一些额外的头来访问别的域的资源。例如，假设位于http://test1.domain.com上的应用程序需要对位于 http://test2.domain.com/some/awesome/endpoint上的 api 进行 REST 调用。
一个资源会发起一个跨域HTTP请求(Cross-site HTTP request), 当它请求的一个资源是从一个与它本身提供的第一个资源的不同的域名时 。比如说，域名A(http://domaina.example)的某 Web 应用程序中通过标签引入了域名B(http://domainb.foo)站点的某图片资源(http://domainb.foo/image.jpg)，域名A的那 Web 应用就会导致浏览器发起一个跨站 HTTP 请求。在当今的 Web 开发中，使用跨站 HTTP 请求加载各类资源（包括CSS、图片、JavaScript 脚本以及其它类资源），已经成为了一种普遍且流行的方式。正如大家所知，出于安全考虑，浏览器会限制脚本中发起的跨站请求。 更多说明查看：https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Access_control_CORS
《程序员应对浏览器同源策略的姿势》一文提到三种跨域请求方案，重点讲述了w3c和浏览器厂商推出的CORS规范。
现代网页比以往任何时候都使用更多的外部脚本和资产。默认情况下，JavaScript 遵循同源策略，只能调用与运行脚本在同一域中的 URL。那么，我们怎样才能让我们的 JavaScript 支持的页面使用外部脚本呢？
在本节中，我们将解释什么是跨域资源共享（CORS），并描述一些基于 CORS 的常见攻击示例，以及讨论如何防御这些攻击。
由于浏览器同源策略的存在使得一个源中加载来自其它源中资源的行为受到了限制。即会出现跨域请求禁止。
传统的Ajax请求只能获取在同一个域名下面的资源，但是HTML5打破了这个限制，允许Ajax发起跨域的请求。浏览器是可以发起跨域请求的，比如你可以外链一个外域的图片或者脚本。但是Javascript脚本是不能获取这些资源的内容的，它只能被浏览器执行或渲染。 在Flash和Silverlight中，服务器需要创建一个crossdomain.xml的文件来允许跨域请求。如果这个文件声明“http://your.site”允许来自“http://my.site”的请求，则来自“http://my.site”的请求
跨站 HTTP 请求(Cross-site HTTP request)是指发起请求的资源所在域不同于该请求所指向资源所在的域的 HTTP 请求。比如说，域名A(http://domaina.example)的某 Web 应用程序中通过标签引入了域名B(http://domainb.foo)站点的某图片资源(http://domainb.foo/image.jpg)，域名A的那 Web 应用就会导致浏览器发起一个跨站 HTTP 请求。在当今的 Web 开发中，使用跨站 HTTP 请求加载各类资源（包括CSS、图片、JavaScript 脚本以及其它类资源），已经成为了一种普遍且流行的方式。
我们先了解下【域】的定义：协议 + 域名 + 端口。三者完全相同则为同域，反之有其一不同均为不同域。那么，什么是跨域请求？当前【发起请求】的域和【请求指向】的域属于不同域时，该次请求称之为跨域请求。简单说A应用只能访问A应用后台传来数据，B应用只能访问B应用后台传来的数据，如果A应用用Ajax获取数据时的URL地址中的协议、端口、域名其中有一个和B应用对应的话，则是A应用跨域了想获取B应用数据，是不允许的。在谈跨域之前，我们先来看看浏览器的同源策略。
No 'Access-Control-Allow-Origin' header is present on the requested resource The response had HTTP status code 405
早期为了避免 CSRF（跨站请求伪造） 攻击，浏览器引入了 “同源策略” 机制。如果两个 URL 的协议，主机名（域名/IP），端口号一致，则视为这两个 URL “同源”，属于同一个 “域”，否则视为 “非同源”，即 “跨域”。浏览器会主动拦截跨域的 AJAX 请求，以规避安全风险。
运行在http://localhost:8082端口的前端服务器express和运行在http://localhost:8080端口的后端服务器golang net/http。前端的javaScript代码使用fetch()函数发起一个到http://localhost:8080/api/students的请求。
当然，一开始直接上，js报报一堆 No 'Access-Control-Allow-Origin' header 的错误，那很明显了，nginx允许跨域的关键， 使用add_header函数添加头即可。整理代码如下，添加在 location 节点
当把开发好的 WebApi 接口，部署到 Windows 服务器 IIS 后，postman 可以直接访问到接口并正确返回，这并不意味着任务完成，毕竟接口嘛是要有交互的，最常见的问题莫过于跨域了。
本篇讲解常见的几种跨域方案：JSONP、CORS、图像Ping、document.domain、window.name。
运行在http://localhost:8082端口的前端服务器express和运行在http://localhost:8080端口的后端服务器golang net/http。前端的javaScript代码使用fetch()函数发起一个到http://localhost:8080/api/students的请求。
公司安全测试要求接口的请求方法只能是GET, POST，并且响应头也只能为GET, POST.
同源策略是浏览器的一个安全功能，不同源的客户端脚本在没有明确授权的情况下，不能读写对方资源。 同源策略是浏览器安全的基石。
Nginx是一款轻量级的Web 服务器/反向代理服务器及电子邮件（IMAP/POP3）代理服务器，在BSD-like 协议下发行。其特点是占有内存少，并发能力强，事实上nginx的并发能力在同类型的网页服务器中表现较好。
参考https://blog.csdn.net/qq_27068845/article/details/73007155 http://blog.51cto.com/aaronsa/2071108 d
跨域是指：浏览器A从服务器B获取的静态资源，包括Html、Css、Js，然后在Js中通过Ajax访问C服务器的静态资源或请求。即：浏览器A从B服务器拿的资源，资源中想访问服务器C的资源。
那么究竟什么是跨域，跨域又是怎么产生的，以及跨域请求的问题需要怎么解决。我们一起来了解一下这些知识。
其中，源=协议+主机+端口，**两个源相同，称之为同源，两个源不同，称之为跨源或跨域
出于安全考虑（比如csrf攻击），浏览器一般会禁止进行跨域访问，但是因为有时有相应需求，需要允许跨域访问，这时，我们就需要将跨域访问限制打开。 启动一个web服务，端口是8081
JSONP的做法是：当需要跨域请求时，不使用AJAX，转而生成一个script元素去请求服务器，由于浏览器并不阻止script元素的请求，这样请求可以到达服务器。服务器拿到请求后，响应一段JS代码，这段代码实际上是一个函数调用，调用的是客户端预先生成好的函数，并把浏览器需要的数据作为参数传递到函数中，从而间接的把数据传递给客户端
“ 相信做前端开发的同学对同源策略都比较熟悉，而如何解决跨域问题基本上也是前端面试必考题之一。 ” CORS标准协议 为了解决跨域资源共享问题，浏览器厂商和标准组织在 HTTP 协议的基础上，提出了 CORS 标准协议。CORS 协议由一组 HTTP Header 构成，用于标识某个资源是否可以被跨域访问。 这里只是简单介绍一下 CORS 标准，更详细的内容可以直接看规范文档：Fetch Standard 当前端使用 XHR 或者 fetch 等其他方法请求一个跨域资源时，如果是非简单请求（后面会解释），
AJAX 是无需刷新页面就能够从服务器去的数据的一种方法，负责Ajax运作的核心对象是XMLHttpRequest(XHR)对象。
当你看到这个信息，就意味着响应失败了；但你依然能在浏览器开发工具的网络 tab 里看到返回数据 -- 这是什么情况呢？
CORS 请求分成两类：简单请求（simple request）和非简单请求（not-so-simple request）。
跨域：指的是浏览器不能执行其他网站的脚本。它是由浏览器的同源策略造成的，是浏览器对javascript施加的安全限制。
简单先了解一下CORS，方便我们后续去挖一些CORS的漏洞，最近CORS也是比较火的！
下表给出了相对http://a.xyz.com/dir/page.html同源检测的示例:
浏览器安全阻止了一个网页中向另外一个域提交请求，这个限制叫做同域策咯（same-origin policy），这组织了一个恶意网站从另外一个网站读取敏感数据，但是一些特殊情况下，你需要允许另外一个站点跨域请求你的网站。 跨域资源共享（CORS:Cross Origin Resources Sharing）是一个W3C标准，它允许服务器放宽对同域策咯的限制，使用CORS，服务器可以明确的允许一些跨域的请求，并且拒绝其它的请求。CORS要比JSONP要相对安全而且更加灵活，这一个章节主要讲述怎么在你的ASP.N
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
