前端培训-中级阶段（11、12）- 跨域请求原理以及实现（2019-08-22期）

前端最基础的就是 HTML+CSS+Javascript。掌握了这三门技术就算入门，但也仅仅是入门，现在前端开发的定义已经远远不止这些。前端小课堂（HTML/CSS/JS），本着提升技术水平，打牢基础知识的中心思想，我们开课啦（每周四）。

JSONP 跨域请求原理以及实现方式jQuery封装的Ajax调用和JSONP数据跨域请求原理和实现

这节题目有点奇怪啊。
上节我们讲了同源策略，这节我们讲讲如何跨域。这东西就和产品提需求一样，我知道不合理，但是我就想要。

跨域分类

iframe 跨域
比如 www.51vv.com 的一部分（header吧），我 k.51vv.com 也想用。默认情况下不同源，是不允许的。那我们怎么办呢？
1. domain
2. postMessage
ajax 跨域
1. JSONP
2. CORS
3. 服务器代理
canvas 资源跨域
1. image 跨域
script 资源跨域
1. Script error.
  为了提升网站的访问速度，我们通常都会将静态资源文件(css, image, javascript)放在CDN。当这些从CDN的JavaScript脚本执行出错，因为违背了同源策略, 为了保证用户信息不被泄露，错误信息不会显示出来，取而代之只会返回一个Script error.。

ajax 跨域方案

这部分知识是我们开发中经常会遇到的。下面我们来介绍一下常见的几种方法。

JSONP 跨域方案

JSONP 优缺点

优点
1. 浏览器兼容性强（全支持）
缺点
1. 不安全（嵌入异常逻辑代码）
2. 只能发GET请求

JSONP 原理

下面我们来说一下JSONP的原理，顺便分析一下上面的优缺点。

首先 script 标签引入的代码，不管跨不跨域都可以执行。常见的就是CDN的资源，我们拿来使用。
正常的JSON数据为{code: 200, res: [{id:1,state:0},{id:2,state:1}]}。
如果我们 script 标签引入的资源就是带数据的。
比如console.log({code: 200, res: [{id:1,state:0},{id:2,state:1}]})，这样不就等于拿到了数据？
服务端拼接callback名称，动态生成返回数据。

从上面的原理看到JSONP就等于用script加载代码。基于<script>所以兼容性超级棒。同样因为基于<script>代码加载回来了就会执行，如果其中有恶意代码很危险。

CORS 跨域方案

CORS 是一个 W3C 标准，全称是"跨域资源共享"（Cross-origin resource sharing）。
是用来处理跨域问题的一个标准方案。分为两种情况，简单请求和非简单请求。

优缺点

优点
1. 一个标准化的方案。
2. 对于 ajax 请求的方案。支持（get、post、put、delete）等多种请求方式。
3. 包含多种跨域情况，比如script跨域，image跨域
4. 安全。因为他拿到的只是单纯的数据，数据具体怎么使用，还是由开发者来控制。
缺点
1. 兼容性较弱（IE 低版本的时候还没这个规范，所以不支持）
2. 非简单请求首次会预检

简单请求与非简单请求的区分

只要同时满足以下两大条件，就属于简单请求。

请求方法是以下三种方法之一：HEAD、GET、POST
HTTP的头信息不超出以下几种字段：
1. Accept
2. Accept-Language
3. Content-Language
4. Last-Event-ID
5. Content-Type：只限于三个值
  1. application/x-www-form-urlencoded、
  2. multipart/form-data
  3. text/plain

凡是不同时满足上面两个条件，就属于非简单请求。

OPTIONS

浏览器对于这两种请求的处理流程是不一样的。

处理流程的区别？
- 简单请求：一次请求
- 非简单请求：两次请求，在发送数据之前会先发一次预检（OPTIONS）请求，只有通过后才会正式的发送请求用于数据传输。
预检请求
- 请求方式（method）：OPTIONS
- 检查服务器是否支持对应的请求。
  - 通过则允许传输数据
  - 不通过则不再发送真正想要发送的消息（body）
- 如何预检
  - 如果复杂请求是PUT等请求，则服务端需要设置允许某请求，否则预检不通过
    Access-Control-Request-Method
  - 如果复杂请求设置了请求头，则服务端需要设置允许某请求头，否则预检不通过
    Access-Control-Request-Headers

服务器代理跨域方案

跨域的前提还记得吗？如果我们只请求当前域名不就没问题了吗？我问根据一定规则，让服务端帮我们请求。

优缺点

优点
1. 兼容极好
2. 方便更换源
缺点
1. 流量问题
2. 需要主要安全问题，防止代理到内部服务器

nginx实现

    server {
        listen       80;
        server_name  proxy.lilnong.top;
        location = /50x.html {
            root   html;
        }
        location /proxy {
            proxy_pass http://8.8.8.8/;
        }
    }

意味着如果请求https://proxy.lilnong.top/proxy/index.html就会被代理到http://8.8.8.8/index.html;
这里有个注意点，proxy_pass http://8.8.8.8/;和proxy_pass http://8.8.8.8;。前者会过滤掉location的匹配串，后者不会。