Javascript CORS—它是客户端的东西、服务器端的东西还是传输级别的东西？
我在努力理解。据我所知，它使您能够限制哪些域可以访问服务器上的资源。然而，这似乎不是全部的故事。例如，我有一个没有启用CORS的web服务。我无法通过jQuery从我的web应用程序点击此web服务（该应用程序正在本地主机上运行）。然而，我可以点击邮递员的网络服务。所以，我有点困惑。是否有涉及CORS的额外客户端工作？实际上两者都有一点。您的浏览器将阻止CORS请求，除非请求的来源（即引用者URL域）位于目标上的白名单中，或者目标批准所有请求，而不管其来源如何 在这两种情况下，都会添加所需的标头（Access Control Allow Origin），告知浏览器可以将请求发送到目标Javascript CORS—它是客户端的东西、服务器端的东西还是传输级别的东西？,javascript,cors,Javascript,Cors,我在努力理解。据我所知，它使您能够限制哪些域可以访问服务器上的资源。然而，这似乎不是全部的故事。例如，我有一个没有启用CORS的web服务。我无法通过jQuery从我的web应用程序点击此web服务（该应用程序正在本地主机上运行）。然而，我可以点击邮递员的网络服务。所以，我有点困惑。是否有涉及CORS的额外客户端工作？实际上两者都有一点。您的浏览器将阻止CORS请求，除非请求的来源（即引用者URL域）位于目标上的白名单中，或者目标批准所有请求，而不管其来源如何 在这两种情况下，都会添加所需的标头
这可确保有恶意意图的人在用户不知道的情况下无法向另一个域发送请求。服务器负责报告允许的来源。web浏览器负责强制要求仅从允许的域发送请求 当请求中包含时，应用于请求。这包括从JavaScript发出的请求和POST请求。它并不是应用于所有资源。来源是发出请求的协议、主机和端口。JavaScript发出的请求使用加载JavaScript的源，而不是从中加载JavaScript的源 当CORS未启用时，浏览器将依赖于。同源策略仅应用于脚本。浏览器将只允许从加载页面的相同来源加载脚本。当明确允许非来源时，假定采用相同来源策略 浏览器以外的HTTP客户端不会使用同源策略或CORS。从这些其他HTTP客户端发出的请求没有来源。除非Postman桌面应用程序模拟浏览器，否则它将能够向任何URL发出请求 需要CORS和同源策略，因为浏览器不会隐式信任其访问的网站向其他网站发出请求。它们不保护源站点，而是保护接收跨源请求的站点。这就是为什么允许的来源取决于目标服务器 如果没有这些策略，重复加载网站的简单脚本可能会通过广告网络或脚本注入进行分发，然后任何加载脚本的浏览器都会导致网站上的拒绝服务攻击。使用CORS和同源策略，浏览器将限制此脚本的影响 CORS提供的另一个重要保护是防止。它防止一个站点向另一个站点发出某些类型的请求。这些请求将使用任何先前创建的令牌（如会话令牌）进行 CORS示例：
web浏览器从
www.example.comwww.example.orgwww.example.comOPTIONSwww.example.orgwww.example.orgAccess Control Allow origin访问控制允许方法访问控制允许标头