浏览器安全策略 & CORS_弱cors-优快云博客

本文链接：https://blog.youkuaiyun.com/huangyilinnuli/article/details/118874626

本文详细介绍了浏览器的同源策略以及跨域资源共享（CORS）机制。CORS通过一系列HTTP头解决跨域问题，包括预检请求、简单请求和相关HTTP头的使用，确保了跨源数据交互的安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

CORS全称Cross-Origin Resource Sharing, 即跨域资源共享，是一个由一系列HTTP头组成的系统，这些HTTP头决定浏览器是否阻止前端javascript代码获取跨域请求的响应。为什么需要CORS ？这是因为浏览器存在同源安全策略，当我们在当前域请求另外一个域的资源时，浏览器默认会阻止脚本读取它的响应，这时CORS就有了用武之地。

同源策略

同源策略是浏览器的一个重要的安全策略，它用于限制一个源的文档或其加载的脚本如何与另外一个源进行交互，它能够隔绝恶意文档，减少被攻击的媒介。

同源的定义

如果两个URL的协议、主机名和端口号都是相同的，那么这两个URL就是同源的，

下表给出了与 URL http://store.company.com/dir/page.html 的源进行对比的示例:

URL	结果	原因
http://store.company.com/dir2/other.html	同源	只有路径不同
https://store.company.com/secure.html	非同源	协议不同
http://store.company.com:81/dir/etc.html	非同源	端口号不同
http://news.company.com/dir/other.html	非同源	主机名不同

也就是说当在http://store.company.com/dir/page.html这个网站中向https://store.company.com、http://store.company.com:81和http://news.company.com三个地址发起AXJX请求都会失败并且会报跨域的错误。这就是浏览器的同源策略，只能访问同源的数据。

源的修改

实际上，在一个源下可以修改当前源，比如在http://hello.word.com/index.html下，有一个脚本执行了以下语句：

document.domain = 'word.com'

那么当前网站能与http://word.com通过同源检测，即允许访问http://word.com的数据。需要注意的是document.domain只能设置为当前域的父域, 并且在设置之后，端口号会变成null，例如还是在http://hello.word.com/index.html下执行以下语句会失败：