CORS（跨域资源共享）

CORS系统基本上可以让服务器暴露给其它域上文件的Ajax调用。实现方式：可以自由的使用自己本域的JS代码通过Ajax来调用Face.com的API。
CORS系统定义了一种浏览器和服务器交互的方式来确定是否允许跨域请求。 它是一个妥协，有更大的灵活性，但比起简单地允许所有这些的要求来说更加安全。
CORS与JSONP相比，无疑更为先进、方便和可靠。

        1、 JSONP只能实现GET请求，而CORS支持所有类型的HTTP请求。

        2、 使用CORS，开发者可以使用普通的XMLHttpRequest发起请求和获得数据，比起JSONP有更好的错误处理。

        3、 JSONP主要被老的浏览器支持，它们往往不支持CORS，而绝大多数现代浏览器都已经支持了CORS。

要使用CORS， 我们需要了解前端和服务器端的使用方法。
1、  前端
 以前我们使用Ajax，代码类似于如下的方式：
var xhr = new XMLHttpRequest(); 
xhr.open("GET", "/hfahe", true); 
xhr.send();
  如果我们要使用CORS，相关Ajax代码可能如下所示：
var xhr = new XMLHttpRequest(); 
xhr.open("GET", "http://blog.youkuaiyun.com/hfahe", true); 
xhr.send();
  注：代码与之前的区别就在于相对路径换成了其他域的绝对路径，也就是你要跨域访问的接口地址。

我们还必须提供浏览器回退功能检测和支持，避免浏览器不支持的情况。
function createCORSRequest(method, url) { 
  var xhr = new XMLHttpRequest(); 
  if ("withCredentials" in xhr) { 
    // 此时即支持CORS的情况 
    // 检查XMLHttpRequest对象是否有“withCredentials”属性 
    // “withCredentials”仅存在于XMLHTTPRequest2对象里 
    xhr.open(method, url, true); 
  } else if (typeof!= "undefined") { 
    // 否则检查是否支持XDomainRequest，IE8和IE9支持 
    // XDomainRequest仅存在于IE中，是IE用于支持CORS请求的方式 
    xhr = new XDomainRequest(); 
    xhr.open(method, url); 
 } else { 
    // 否则，浏览器不支持CORS 
    xhr = null; 
 } 
  return xhr; 
} 
  
var xhr = createCORSRequest('GET', url); 
if (!xhr) { 
  throw new Error('CORS not supported'); 
} 
运行以上代码会报错：
因为未设置Access-Control-Allow-Origin头

 2、服务器
      服务器端对于CORS的支持，主要就是通过设置Access-Control-Allow-Origin来进行的。如果浏览器检测到相应的设置，就可以允许Ajax进行跨域的访问。
      HTTP 头的设置方法有很多，http://enable-cors.org/这篇文章里对各种服务器和语言的设置都有详细的介绍，下面我们主要介绍Apache和PHP里的设置方法。
      Apache：Apache需要使用mod_headers模块来激活HTTP头的设置，它默认是激活的。你只需要在Apache配置文件的<Directory>, <Location>, <Files>或<VirtualHost>的配置里加入以下内容即可：Header set Access-Control-Allow-Origin * 
      以上的配置的含义是允许任何域发起的请求都可以获取当前服务器的数据。当然，这样有很大的危险性，恶意站点可能通过XSS攻击我们的服务器。所以我们应该尽量有针对性的对限制安全的来源，例如下面的设置使得只有http://blog.youkuaiyun.com这个域才能跨域访问服务器的API。
      Access-Control-Allow-Origin: http://blog.youkuaiyun.com

      未来
      从所有的浏览器都支持来看，CORS将成为未来跨域访问的标准解决方案。无论是自己服务器间的跨域访问，还是开放平台为第三方提供API，都将采用这种统一的解决方案，因为它简单、高效，受到所有主流浏览器的支持。它非常重要，也会让我们的网络变得更加开放。

摘自蒋宇捷的博客（http://blog.youkuaiyun.com/hfahe）