返回

跨域数据获取： CORS、JSONP、服务器中转

前端

在现代的互联网生态系统中，由于安全性和隐私问题，跨域数据获取已成为一项艰巨的挑战。当不同的页面或服务器出于安全考虑而运行在不同的源上时，就会出现跨域问题。此时，浏览器会自动阻止对不同源数据的访问，以防止恶意脚本窃取敏感信息。

然而，跨域数据获取在许多场景下都是必要的，例如在整合来自第三方 API 的数据、开发跨域单页应用或在不同子域之间共享数据时。为了应对这一挑战，业界开发了多种跨域数据获取技术，包括 CORS（跨域资源共享）、JSONP（JSONP 请求）和服务器中转。

CORS（跨域资源共享）

CORS 是一种浏览器实现的机制，它允许服务器明确指定哪些源可以访问其资源。通过设置适当的响应头，服务器可以向特定的源授予跨域访问权限。

要启用 CORS，服务器需要在响应头中包含以下内容：

  • Access-Control-Allow-Origin：指定允许访问资源的源。
  • Access-Control-Allow-Methods：指定允许用于访问资源的 HTTP 方法。
  • Access-Control-Allow-Headers：指定允许包含在请求中的 HTTP 标头。
  • Access-Control-Max-Age：指定预检请求的缓存时间（以秒为单位）。

JSONP（JSONP 请求）

JSONP 是一种解决跨域问题的巧妙技术，它利用了 <script> 标签不受跨域限制的特点。通过将数据包装在 JSON 回调函数中，JSONP 可以将数据从服务器加载到客户端。

要使用 JSONP，客户端需要创建一个带有唯一回调函数名称的 <script> 标签，并将其加载到页面中。服务器随后将数据包装在这个回调函数中进行返回。客户端脚本可以通过这个回调函数来访问和处理数据。

服务器中转

服务器中转是一种通过第三方服务器作为中间人的方法。客户端将请求发送到中转服务器，中转服务器再向原始服务器请求数据。原始服务器将数据返回给中转服务器，中转服务器再将数据转发给客户端。

服务器中转的优势在于它可以绕过浏览器的同源限制，并且不需要服务器端的任何特殊配置。然而，它引入了一个额外的中间层，可能会增加延迟和降低性能。

适用场景

跨域数据获取技术的适用场景如下：

  • CORS ：适用于服务器端允许跨域访问的情况，并且不需要客户端进行任何特殊处理。
  • JSONP ：适用于服务器端不允许 CORS 访问，并且数据量较小、性能要求不高的情况。
  • 服务器中转 ：适用于服务器端不允许 CORS 或 JSONP 访问，并且需要高性能和数据安全性较高的场合。