跨域问题的解决方案2：CORS

最新推荐文章于 2025-02-21 17:53:55 发布

漆黑的夜II

最新推荐文章于 2025-02-21 17:53:55 发布

阅读量341

点赞数

CC 4.0 BY-SA版权

分类专栏： http

本文链接：https://blog.youkuaiyun.com/wyb_Night/article/details/80356271

http 专栏收录该内容

3 篇文章

订阅专栏

本文介绍了CORS（跨域资源共享）的概念及其工作原理。CORS是一种由W3C定义的安全策略，允许浏览器向跨源服务器发出XMLHttpRequest请求，解决了AJAX只能同源使用的限制。文章还展示了如何在客户端和服务端实现CORS，并解释了Access-Control-Allow-Origin和Access-Control-Allow-Credentials的作用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

CORS 是一个W3C 标准，全称是"跨域资源共享"（Cross-origin resource sharing）。CORS需要浏览器和服务器同时支持。目前，所有浏览器都支持该功能，IE 浏览器不能低于IE10。

它允许浏览器向跨源服务器，发出XMLHttpRequest 请求，从而克服了AJAX 只能同源

使用的限制。整个CORS 通信过程，都是浏览器自动完成，不需要用户参与。对于开发者来
说，CORS 通信与同源的AJAX 通信没有差别，代码完全一样。浏览器一旦发现AJAX 请求跨
源，就会自动添加一些附加的头信息，有时还会多出一次附加的请求，但用户不会有感觉。
因此，实现CORS 通信的关键是服务器。只要服务器实现了CORS 接口，就可以跨源通信。

下面我们就开始动手，让我们的购物车工程能够接收跨域请求

先看案例：

Demo1 ajax发送请求

<script type="text/javascript" src="js/jquery-1.9.1.js"></script>
<script type="text/javascript">
	$(function(){
		$.post("http://localhost:8080/Demo2/SaveGoodsServlet",
				{"id":"1001","name":"aaa",'withCredentials':true},
				function(data){
				alert(data);
			});
	});
</script>

Demo2 Servlet接收并响应

public class SaveGoodsServlet extends HttpServlet {

	protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		response.setHeader("Access-Control-Allow-Origin", "http://localhost:8180");
		response.setHeader("Access-Control-Allow-Credentials", "true");
		String id = request.getParameter("id");
		String name = request.getParameter("name");			
			response.getWriter().write(id);
	
	}

结果：

servlet加入：

response.setHeader("Access-Control-Allow-Origin", "http://localhost:9100");//url可以用*表示，接受cookie必须写路径

response.setHeader("Access-Control-Allow-Credentials", "true");//如果是接受cookie需要加

ajax加入

'withCredentials':true

Access-Control-Allow-Origin

Access-Control-Allow-Origin 是HTML5 中定义的一种解决资源跨域的策略。
他是通过服务器端返回带有Access-Control-Allow-Origin 标识的Response header，用来
解决资源的跨域权限问题。
使用方法，在response 添加Access-Control-Allow-Origin，例如
Access-Control-Allow-Origin:www.google.com

也可以设置为* 表示该资源谁都可以用

Access-Control-Allow-Credentials

CORS 请求默认不发送Cookie 和HTTP 认证信息。如果要把Cookie 发到服务器，一方面要服
务器同意，指定Access-Control-Allow-Credentials 字段。另一方面，开发者必须在AJAX 请求
中打开withCredentials 属性。否则，即使服务器同意发送Cookie，浏览器也不会发送。或者，

服务器要求设置Cookie，浏览器也不会处理。

Access-Control-Allow-Credentials和'withCredentials':true配合使用