关于跨域与 csrf 的那些事

前言

  在这段时间，部门前辈分享了不少干货。我学到了不少内容，并对其进行简单整理，以便更好地转化为自己的知识。

知识探讨部分

关于跨域

产生

1. 协议，域名，端口三者其中存在不同都会形成跨域；故，当协议，端口，域名三者均相同时，浏览器就会认为是同源，允许加载该资源，否则为不同源。
2. 跨域存在原因：浏览器的同源限制策略

• 请求：客户端（www.a.com） -》 服务端(www.baidu.com)
• 响应：客户端（www.a.com）《- 服务端(www.baidu.com)

  从上面列出的例子中，我们可以看到客户端和服务端是处于不同的域名下，这种情况，客户端可以正常地向服务端发出请求。但是，由于浏览器的同源限制策略，服务端响应的数据会被浏览器过滤掉，并抛出常见的跨域报错。

网上随便找了一张常见的跨域报错的图

特别需要提一下的是：IE 与其他浏览器对于同源策略的处理方式稍有点不同。主要包括以下两点：

• 授信范围：两个相互之间高度互信的域名，不受同源策略的限制。
• 端口：IE 未将端口号加入到同源策略的组成成分中。即两个协议，域名相同，端口不同的域名，IE 会认为两者是属于同源并不受限制的。

为什么会被过滤？

  浏览器收到响应数据之后，会判断响应回数据的源和当前页面的源是否是属于同源。