隨著Web App的功能越來越強 各種跨域的需求催生了無數的跨域手法。甚至在HTML5標準中都給出了官方的跨域方法， 也是最近應付面試的需要，拿一篇文章來總結既有的各種跨域手段。

這些跨域通訊的方法大致可以分為兩類：

• 一類是Hack，比如通過title, navigation等物件傳遞資訊，JSONP可以說是一個最優秀的Hack。
• 另一類是HTML5支援，一個是Access-Control-Allow-Origin響應頭，一個是window.postMessage。

設定 document.domain

• 原理：相同主域名不同子域名下的頁面，可以設定document.domain讓它們同域
• 限制：同域document提供的是頁面間的互操作，需要載入iframe頁面

下面幾個域名下的頁面都是可以通過document.domain跨域互操作的： http://a.com/foo, http://b.a.com/bar, http://c.a.com/bar。 但只能以頁面巢狀的方式來進行頁面互操作，比如常見的iframe方式就可以完成頁面巢狀：

// URL http://a.com/foo
var ifr = document.createElement('iframe');
ifr.src = 'http://b.a.com/bar'; 
ifr.onload = function(){
    var ifrdoc = ifr.contentDocument || ifr.contentWindow
 
.document;
    ifrdoc.getElementsById("foo").innerHTML);
};

ifr.style.display = 'none';
document.body.appendChild(ifr);

上述程式碼所在的URL是http://a.com/foo，它對http://b.a.com/bar的DOM訪問要求後者將 document.domain往上設定一級：

// URL http://b.a.com/bar
document.domain = 'a.com'

document.domain只能從子域設定到主域，往下設定以及往其他域名設定都是不允許的， 在Chrome中給出的錯誤是這樣的：

Uncaught DOMException: Failed to set the 'domain' property on 'Document': 'baidu.com' is not a suffix of 'b.a.com'

有src的標籤

• 原理：所有具有src屬性的HTML標籤都是可以跨域的，包括<img>, <script>
• 限制：需要建立一個DOM物件，只能用於GET方法

在document.body中append一個具有src屬性的HTML標籤， src屬性值指向的URL會以GET方法被訪問，該訪問是可以跨域的。

其實樣式表的<link>標籤也是可以跨域的，只要是有src或href的HTML標籤都有跨域的能力。

不同的HTML標籤傳送HTTP請求的時機不同，例如<img>在更改src屬性時就會發送請求，而script, iframe, link[rel=stylesheet]只有在新增到DOM樹之後才會傳送HTTP請求：

var img = new Image();
img.src = 'http://some/picture';        // 傳送HTTP請求

var ifr = $('<iframe>', {src: 'http://b.a.com/bar'});
$('body').append(ifr);                  // 傳送HTTP請求

JSONP

• 原理：<script>是可以跨域的，而且在跨域指令碼中可以直接回調當前指令碼的函式。
• 限制：需要建立一個DOM物件並且新增到DOM樹，只能用於GET方法

JSONP利用的是<script>可以跨域的特性，跨域URL返回的指令碼不僅包含資料，還包含一個回撥：

// URL: http://b.a.com/foo
var data = {
    foo: 'bar',
    bar: 'foo'
};
callback(data);

該例子只用於示例，實際情況應當考慮名稱隱藏等問題。

然後在我們在主站http://a.com中，可以這樣來跨域獲取http://b.a.com的資料：

// URL: http://a.com/foo
var callback = function(data){
    // 處理跨域請求得到的資料
};
var script = $('<script>', {src: 'http://b.a.com/bar'});
$('body').append(script);

其實jQuery已經封裝了JSONP的使用，我們可以這樣來：

$.getJSON( "http://b.a.com/bar?callback=callback", function( data ){
    // 處理跨域請求得到的資料
});

$.getJSON與$.get的區別是前者會把responseText轉換為JSON，而且當URL具有callback引數時， jQuery將會把它解釋為一個JSONP請求，建立一個<script>標籤來完成該請求。

jQuery.getJSON: If the URL includes the string “callback=?” (or similar, as defined by the server-side API), the request is treated as JSONP instead. See the discussion of the jsonp data type in $.ajax() for more details.)

和所有依賴於建立HTML標籤的方式一樣，JSONP也不支援POST，而GET的資料是放在URL裡的。 雖然[RFC 2616][rfc2610]沒有提到限制到多少， 但提到了伺服器可以對自己認為比較長的URL返回414狀態碼。一般來講URL限長是在2000字元左右。

navigation 物件

• 原理：iframe之間是共享navigator物件的，用它來傳遞資訊
• 要求：IE6/7

有些人注意到了IE6/7的一個漏洞：iframe之間的window.navigator物件是共享的。 我們可以把它作為一個Messenger，通過它來傳遞資訊。比如一個簡單的委託：

// a.com
navigation.onData(){
    // 資料到達的處理函式
}
typeof navigation.getData === 'function' 
    || navigation.getData()

// b.com
navigation.getData = function(){
    $.get('/path/under/b.com')
        .success(function(data){
            typeof navigation.onData === 'function'
                || navigation.onData(data)
        });
}

與document.navigator類似，window.name也是當前視窗所有頁面所共享的。也可以用它來傳遞資訊。 同樣蛋疼的辦法還有傳遞Hash（有些人叫錨點），這是因為每次瀏覽器開啟一個URL時，URL後面的#xxx部分會保留下來，那麼新的頁面可以從這裡獲得上一個頁面的資料。

跨域資源共享（CORS）

• 原理：伺服器設定Access-Control-Allow-OriginHTTP響應頭之後，瀏覽器將會允許跨域請求
• 限制：瀏覽器需要支援HTML5，可以支援POST，PUT等方法

前面提到的跨域手段都是某種意義上的Hack， HTML5標準中提出的跨域資源共享（Cross Origin Resource Share，CORS）才是正道。 它支援其他的HTTP方法如PUT, POST等，可以從本質上解決跨域問題。

例如，從http://a.com要訪問http://b.com的資料，通常情況下Chrome會因跨域請求而報錯：

XMLHttpRequest cannot load http://b.com. No 'Access-Control-Allow-Origin' header is present on the requested resource. Origin 'http://a.com' is therefore not allowed access.

錯誤原因是被請求資源沒有設定Access-Control-Allow-Origin，所以我們在b.com的伺服器中設定這個響應頭欄位即可：

Access-Control-Allow-Origin: *              # 允許所有域名訪問，或者
Access-Control-Allow-Origin: http://a.com   # 只允許所有域名訪問

為 xhr 設定 withCredentials 後 CORS 方法跨域還可 攜帶Cookie，但 PUT/POST 請求需要注意處理 preflight 請求。

window.postMessage

• 原理：HTML5允許視窗之間傳送訊息
• 限制：瀏覽器需要支援HTML5，獲取視窗控制代碼後才能相互通訊

這是一個安全的跨域通訊方法，postMessage(message,targetOrigin)也是HTML5引入的特性。 可以給任何一個window傳送訊息，不論是否同源。第二個引數可以是*但如果你設定了一個URL但不相符，那麼該事件不會被分發。看一個普通的使用方式吧：

// URL: http://a.com/foo
var win = window.open('http://b.com/bar');
win.postMessage('Hello, bar!', 'http://b.com'); 

// URL: http://b.com/bar
window.addEventListener('message',function(event) {
    console.log(event.data);
});

訪問控制安全的討論

在HTML5之前，JSONP已經成為跨域的事實標準了，jQuery都給出了支援。 值得注意的是它只是Hack，並沒有產生額外的安全問題。 因為JSONP要成功獲取資料，需要跨域資源所在伺服器的配合，比如資源所在伺服器需要自願地回撥一個合適的函式，所以伺服器仍然有能力控制資源的跨域訪問。

跨域的正道還是要使用HTML5提供的CORS頭欄位以及window.postMessage， 可以支援POST, PUT等HTTP方法，從機制上解決跨域問題。 值得注意的是Access-Control-Allow-Origin頭欄位是資源所在伺服器設定的， 訪問控制的責任仍然是在提供資源的伺服器一方，這和JSONP是一樣的。