目录
2、CORS（Cross-Origin Resource Sharing）
跨域（Cross-Domain）在Web开发中是一个重要的概念，主要涉及一个域（domain）下的Web页面尝试访问或获取另一个域下的资源时出现的安全限制。
1、定义
广义：指一个域下的文档或脚本试图去请求另一个域下的资源。
狭义：特指在浏览器环境中，由于浏览器的同源策略（Same-Origin Policy）限制，从一个域名的网页去请求另一个域名的资源时，如果域名、端口、协议中的任何一个不同，都被认为是跨域。
2、同源策略
同源策略是浏览器的一个安全特性，它要求两个网页具有相同的协议（如HTTP、HTTPS）、域名（如www.example.com）和端口号（如80、443），才允许JavaScript等前端代码读取或操作来自另一个域的数据。
3、跨域场景
在实际开发中，经常需要跨域访问数据或资源，例如前后端分离的应用中，前端页面和后端服务可能部署在不同的域名下。
4、跨域的原因
1、安全考虑
****同源策略的主要目的是保证用户信息的安全，防止恶意的文档或脚本攻击。如果没有同源策略，一个恶意网页可能会读取另一个网页的敏感信息，如用户输入的密码、银行账号等，从而进行非法操作。
2、浏览器实现
****浏览器作为Web应用的主要运行环境，实现了同源策略来限制不同源之间的交互。即使服务器愿意分享资源，如果浏览器不遵守同源策略，这些资源也无法被访问。
3、Web应用复杂性
****随着Web应用的复杂性增加，跨域请求变得越来越常见。例如，一个前端应用可能需要从多个不同的后端服务获取数据。
5、跨域安全隐患
1、 跨域攻击
攻击者可能利用跨域网络通信的漏洞，向目标系统发起攻击，如跨站脚本攻击（XSS）和跨站请求伪造（CSRF）。
2、跨域共享敏感信息
****在跨域网络中，不同域之间的网站可能共享敏感信息，如用户浏览器中的Cookie等。如果某个域存在安全漏洞或恶意代码，就有可能导致敏感信息泄露给攻击者。
6、跨域解决方案
1、JSONP（JSON with Padding）
利用<script>标签不受同源策略限制的特性，通过动态创建<script>标签来加载包含跨域数据的JavaScript脚本。
适用于GET请求，且存在安全风险（如XSS攻击）。
2、CORS（Cross-Origin Resource Sharing）
一种更为安全和正规的跨域解决方案。
通过在HTTP响应中携带特定的头部字段（如Access-Control-Allow-Origin），告知浏览器是否允许跨域请求。
需要浏览器和服务器同时支持。
3、代理服务器设置
在同域名下设置一个代理服务器来发送跨域请求，然后由代理服务器去访问其他域，再将结果返回给前端页面。
前端代码只与同域的代理服务器进行交互，而代理服务器负责与其他域进行通信。
4、postMessage方法
HTML5中定义的一个用于跨窗口通信的API。
允许不同页面的JavaScript代码进行双向通信，并且不受同源策略的限制。
5、WebSocket
虽然不是专门为跨域设计的，但WebSocket通信不受同源策略的限制。
适用于需要实时通信的场景。
6、修改document.domain
对于同一主域下的不同子域，可以通过修改document.domain来规避同源策略的限制。
但这种方法有安全风险，且仅适用于IE和Firefox浏览器。
注意事项
跨域限制主要是浏览器的限制，因此不同浏览器对跨域的处理可能有所不同。
在开发过程中，可以通过设置浏览器的跨域策略或使用代理工具来绕过跨域限制，但在生产环境中应使用上述安全可靠的跨域解决方案。
