浏览器的同源策略
浏览器为什么要有跨域限制
前端怎么实现跨域请求？
1.什么是同源策略及其限制内容？
同源策略是一种约定，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，浏览器很容易受到XSS、CSRF等攻击。所谓同源是指"协议+域名+端口"三者相同，即便两个不同的域名指向同一个ip地址，也非同源。
但是有三个标签是允许跨域加载资源：
- <img src=XXX>
- <link href=XXX>
- <script src=XXX>
2.常见跨域场景
当协议、子域名、主域名、端口号中任意一个不相同时，都算作不同域。不同域之间相互请求资源，就算作“跨域”。跨域并不是请求发不出去，请求能发出去，服务端能收到请求并正常返回结果，只是结果被浏览器拦截了。
解决跨域有哪些方案？
1. CORS
服务端设置Access-Control-Allow-Origin 字段等。由后端来设置进行可跨域处理。
2. Nginx代理跨域
配置一个代理服务器向服务器请求，再将数据返回给客户端，实质和CORS跨域原理一样，需要配置请求响应头Access-Control-Allow-Origin等字段
3. Node中间件代理跨域
4. postMessage
postMessage是HTML5标准中的API，它可以给我们解决如下问题：
- 页面和新打开的窗口间数据传递
- 多窗口之间数据传递
- 页面与嵌套的 iframe 之间数据传递
- 上面三个场景之间的
跨域传递
postMessage 接受两个参数，用法如下：
- 参数一：发送的数据
- 参数二：你要发送给谁就写谁的地址
(协议 + 域名 +端口)，也可以设置为*，表示任意窗口，为/表示与当前窗口同源的窗口
5. JSONP
原理就是通过添加一个且不安全，可能遇到XSS攻击，不过它的好处是可以向老浏览器或不支持CORS的网站请求数据
