让我们用通俗的方式来解释一下JavaScript中的跨域问题和解决方案。
1. 浏览器同源政策就像小区保安
想象一下，你住在一个有严格门禁管理的小区。小区保安负责控制人员进出，只允许本小区居民自由进出，外人要进入必须经过严格的审查和许可。这是因为小区要保护居民的安全，防止非法入侵。
在互联网世界里，浏览器就像这个小区的保安，它执行一套规则叫做“同源策略”。浏览器只允许网页上的JavaScript代码访问同源（即协议、域名、端口完全相同的）资源，就像小区保安只让本小区居民自由进出一样。这样做是为了保护用户的隐私和安全，防止恶意网站通过脚本偷偷获取或操作其他网站的数据。
2. 跨域就像外人想进小区
现在假设你在A小区开了家小店，你的朋友小王住在B小区。小王想直接从你的店里网购商品，但他不能直接走进A小区的小店（跨域限制）。为了能让小王顺利购物，你们得找到一种安全的方法让他能“合法”地进入A小区。
3. CORS就像给外人发放临时通行证
为了解决这个问题，小区管理处推出了“临时通行证”制度。小王可以申请一张“临时通行证”，上面写着他的个人信息、允许进入的时间段、允许访问的区域等。当他带着通行证来到A小区门口时，保安会检查通行证，确认无误后放行。
在互联网世界里，CORS（跨源资源共享）就是这种“临时通行证”。当小王（即浏览器）想访问不同源的资源（你的网店）时，它会先向你的服务器（小区管理处）发送一个“预检请求”（申请通行证）。你的服务器收到请求后，如果同意小王访问，就在响应中加入一些特殊的头信息（通行证内容），如允许访问的源（小王所在的B小区）、允许使用的HTTP方法（如GET、POST）、允许携带的自定义头信息等。浏览器收到响应后，确认通行证有效，就会放行实际的请求，让你的小店成功接收到订单。
4. 其他跨域解决方案
除了CORS这种正规途径，还有两种“旁门左道”：
-
JSONP：有点像小王找了个在A小区的朋友帮忙。小王告诉你要买什么商品，他的朋友去你的店里买好后，再把商品信息带回给他。具体做法是，你的网店提供一个特殊的接口，返回一段包裹着商品数据的JavaScript代码。小王的网页通过
<script>标签请求这个接口，浏览器执行返回的脚本，商品数据就被注入到小王的网页上了。这种方法只适用于GET请求，且安全性较低。 -
代理服务器：就像请一个快递员帮你送东西到B小区。你的网页通过本地或服务器上的代理软件（快递员）发送请求，代理软件接收到请求后，以自己的名义（同源）去访问你的网店，拿到商品信息后再原路返回给小王。这种方法适用于开发调试，生产环境中一般还是使用CORS。
总结来说，跨域问题源于浏览器的同源策略限制，CORS作为一种标准解决方案，通过服务器返回特殊的响应头，为不同源的请求发放“临时通行证”，使得浏览器能够安全地允许这些请求。除此之外，还有JSONP和代理服务器等其他跨域方法，各有优缺点和适用场景。
