目录
3-2-1 简单请求实验 - Access-Control-Allow-Origin
3-2-2 非简单请求实验 - Access-Control-Allow-Headers
一、同源策略 - 基于浏览器的约定
同源策略(Same origin policy)是一种约定,它是浏览器最核心也最基本的安全功能,如果缺少了同源策略,则浏览器的正常功能可能都会受到影响。可以说Web是构建在同源策略基础之上的,浏览器只是针对同源策略的一种实现
请求的url地址,必须与浏览器上的url地址处于同域上,也就是域名,端口,协议相同.
比如:我在本地上的域名是127.0.0.1:8000,请求另外一个域名:127.0.0.1:8001一段数据
浏览器上就会报错,个就是同源策略的保护,如果浏览器对javascript没有同源策略的保护,那么一些重要的机密网站将会很危险
已拦截跨源请求:同源策略禁止读取位于 http://127.0.0.1:8001/SendAjax/ 的远程资源。 (原因:CORS 头缺少 'Access-Control-Allow-Origin')。
但是注意,项目2中的访问已经发生了,说明是浏览器对非同源请求返回的结果做了拦截
二、CORS(跨域资源共享) - 解决同源策略的阻拦
CORS需要浏览器和服务器同时支持。目前,所有浏览器都支持该功能,IE浏览器不能低于IE10。
整个CORS通信过程,都是浏览器自动完成,不需要用户参与。对于开发者来说,CORS通信与同源的AJAX通信没有差别,代码完全一样。浏览器一旦发现AJAX请求跨源,就会自动添加一些附加的头信息,有时还会多出一次附加的请求,但用户不会有感觉。
因此,实现CORS通信的关键是服务器。只要服务器实现了CORS接口,就可以跨源通信。
三、CORS基本流程
- 浏览器将CORS请求分成两类:简单请求(simple request)和非简单请求(not-so-simple request)。
- 浏览器发出CORS简单请求,只需要在头信息之中增加一个Origin字段。
- 浏览器发出CORS非简单请求
- 在正式通信之前,增加一次HTTP查询请求,称为"预检"请求(preflight)。
- 浏览器先询问服务器,当前网页所在的域名是否在服务器的许可名单之中,以及可以使用哪些HTTP动词和头信息字段。
- 只有得到肯定答复,浏览器才会发出正式的XMLHttpRequest请求,否则就报错。
3-1 简单请求
- 请求方法,只允许三种:HEAD,GET,POST
- HTTP头信息不能超出以下几种字段:
- Accept
- Accept-Language
- Content-Language
- Last-Event-ID
- Content-Type:只限于以下三个值
- application/x-www-form-urlencoded
- multipart/form-data
- text/plain
3-2 简单请求和非简单请求的处理区别
- 简单请求:一次数据请求
- 非简单请求:两次请求,先预检OPTION请求,在数据请求
- 预检:发从OPTION请求进行测试,若检测通过用于数据传输,则进行数据的请求
3-2-1 简单请求实验 - Access-Control-Allow-Origin
解决方式:
def test2(request): print('1111') # 简单请求: # 允许http://127.0.0.1:8001域向我发请求 # ret['Access-Control-Allow-Origin']='http://127.0.0.1:8001' # 可以通过逗号分隔,进行多域通过 # ret['Access-Control-Allow-Origin']='http://127.0.0.1:8001,http://127.0.0.1:8080' # 允许所有人向我发请求 ret = HttpResponse('我是另一个程序') ret['Access-Control-Allow-Origin'] = '*' return ret
3-2-2 非简单请求实验 - Access-Control-Allow-Headers
解决方式:
def test2(request): print('1111') # 简单请求: # 允许http://127.0.0.1:8001域向我发请求 # ret['Access-Control-Allow-Origin']='http://127.0.0.1:8001' # 允许所有人向我发请求 ret = HttpResponse('我是另一个程序') ret['Access-Control-Allow-Origin'] = '*' # return HttpResponse('我是另一个程序') if request.method == 'OPTIONS': # Content-Type的头信息允许 ret['Access-Control-Allow-Headers'] = "Content-Type" # 可以通过逗号分隔进行多头信息允许 # ret['Access-Control-Allow-Headers'] = "Content-Type,token" return ret
四、基于Django中间件,解决跨域问题
''' myMiddle.py ''' from django.utils.deprecation import MiddlewareMixin class MyCorsMiddle(MiddlewareMixin): def process_response(self, request, response): # 简单请求: # 允许http://127.0.0.1:8001域向我发请求 # ret['Access-Control-Allow-Origin']='http://127.0.0.1:8001' # 允许所有人向我发请求 response['Access-Control-Allow-Origin'] = '*' if request.method == 'OPTIONS': # Content-Type的头信息允许 response['Access-Control-Allow-Headers'] = "Content-Type" return response ''' setting.py 内进行注册 ''' MIDDLEWARE = [ 'django.middleware.security.SecurityMiddleware', 'django.contrib.sessions.middleware.SessionMiddleware', 'django.middleware.common.CommonMiddleware', # 'django.middleware.csrf.CsrfViewMiddleware', 'django.contrib.auth.middleware.AuthenticationMiddleware', 'django.contrib.messages.middleware.MessageMiddleware', 'django.middleware.clickjacking.XFrameOptionsMiddleware', 'app01.myMiddle.MyCorsMiddle' ]