放飞浏览器的羽翼，CORS助力跨域通信

2023-09-01 17:35:25

CORS：打破资源隔离的藩篱，实现跨域资源共享

浏览器同源策略：安全之网还是藩篱？

在计算机网络的世界中，同源策略犹如一道安全之网，确保不同来源的资源井水不犯河水。同源策略限制了来自一个源（协议、主机、端口）的请求只能访问来自相同源的资源。这种策略旨在保护用户隐私并防止恶意攻击。

然而，在Web应用程序蓬勃发展的今天，同源策略有时会成为应用程序跨域通信的阻碍。例如，您希望在自己的网站上嵌入来自另一个网站的图片或视频资源，但由于同源策略的限制，浏览器会阻止这种跨域请求。

CORS闪亮登场：跨越藩篱，共享资源

CORS（跨域资源共享）的出现打破了同源策略的束缚，为跨域通信开辟了一条光明大道。CORS允许来自不同源的Web应用程序相互请求资源，从而为Web开发人员带来了更多的自由和灵活性。

CORS通过在浏览器和服务器之间添加HTTP头信息来实现跨域通信。浏览器在发送跨域请求时，会在请求头中添加Origin头信息，其中包含请求来源的源信息。服务器收到跨域请求后，会检查请求头中的Origin头信息，并根据自己的CORS策略决定是否允许该请求。

CORS请求的两种类型：简单与非简单

CORS请求分为简单请求和非简单请求。简单请求是指满足以下条件的请求：

请求方法为GET、HEAD、POST
Content-Type头信息为application/x-www-form-urlencoded、multipart/form-data、text/plain
没有自定义的HTTP头信息

非简单请求是指不满足上述条件的请求，例如使用PUT、DELETE等方法的请求，或是在请求头中包含自定义HTTP头信息的请求。

CORS预检请求：为非简单请求探路

对于非简单请求，浏览器在发送请求之前会先发送一个预检请求（preflight request）到服务器。预检请求的目的是为了让服务器确认是否允许该请求。预检请求使用OPTIONS方法，并在请求头中添加Access-Control-Request-Method、Access-Control-Request-Headers头信息，分别指定了即将发出的实际请求的方法和头信息。

服务器收到预检请求后，会检查请求头中的Access-Control-Request-Method、Access-Control-Request-Headers头信息，并根据自己的CORS策略决定是否允许该请求。如果服务器允许该请求，则会在响应头中添加Access-Control-Allow-Methods、Access-Control-Allow-Headers头信息，分别指定了允许的请求方法和头信息。