简述你对HTTP控制访问（CORS）的理解。
首先要搞明白什么是同源，什么是跨域。
打一个简单的比方，你自己从你家里拿东西，不会有人说，这是同源；但是你要从隔壁的邻居的冰箱去拿可乐，你觉得可能吗，这就是跨域。
从比方中回来，事实其实没有那么简单。理解了概念后，得知道如何去判断同源还是跨域。web服务器有三要素：协议（http、https）、端口号（不过多说）、web服务器域名（比如https://github.com/mamba666
中https://github.com就是域名）。三要素必须全部一致才算同源
个人认为写完上面的东东后已经理解了同源跨域已经如何区分。接下来就来看看真正的干货，不讲同源，只讲跨域（以下参考MDN）
浏览器端
如果发现有一个请求是跨域，那么浏览器会自动先拦截一下，给它的http header加上Origin字段。比如 http://localhost:8080变为Origin:http://localhost:8080。这样一来，服务器端就可以区分这个请求是不是跨域了。
服务器端
当服务器端收到浏览器端发送过来的请求后，会有一个响应header。它会告诉请求的浏览器哪儿些域名可以请求我，哪儿些方法可以执行。
响应回到浏览器端
此时浏览器会根据这个响应自动判断，然后在做决定。
服务器端返回给浏览器端的东西
- Access-Control-Allow-Origin 允许跨域的Origin列表
- Access-Control-Allow-Methods 允许跨域的方法列表（GET、POST等）
- Access-Control-Allow-Headers 允许跨域的Header列表
- Access-Control-Expose-Headers 允许暴露给JavaScript代码的Header列表
- Access-Control-Max-Age 最大的浏览器缓存时间，单位为s
跨域请求形式
有两种，简单和非简单请求。这里说说我常遇到的 application/json 。这就是一种非简单请求，在以上所写的浏览器端之前，会先进行一次预请求，根据这个结果再去判断是否正式请求。
其实写了这么多，最重要的就是对CORS的理解，已经这个流程是怎么样的。
编辑于 2020-03-03 12:42:43
回复(2)
XMLHttpRequest有同源限制（必须要相同的协议、域、端口才能访问）。
CORS在http中新增了一个Origin头部解决实现跨域资源共享，浏览器在发送请求时会发送这个头部，包含请求页面的源信息，服务器根据Origin头部决定是否响应。如果没有Origin头部或者信息不匹配就驳回请求；如果请求可接受服务器就会在相应的头部中设置Access-Control-Allow-Orgin头部中发回相同的源信息或者“*”表示可以被任意外域访问。
对于那些对服务器可能造成副作用的请求方法（非简单请求），还要发送预检请求告知服务器请求使用的方法和自定义的头部，服务器会在Access-Control-Allow-Headers 和Access-Control-Allow-Methods头部中返回允许请求的方法和允许的头部。此外，还可以要求携带身份认证（cookies、http认证相关数据）
发表于 2020-04-08 10:12:51
回复(0)
-
扫描二维码，关注牛客网
- 意见反馈
-
下载牛客APP，随时随地刷题
扫一扫，把题目装进口袋
- 求职之前，先上牛客
-
扫描二维码，进入QQ群
扫描二维码，关注牛客公众号
- 公司地址：北京市朝阳区北苑路北美国际商务中心K1座一层-北京牛客科技有限公司
- 联系方式：010-60728802 投诉举报电话：010-57596212（朝阳人力社保局）
- 牛客科技© All rights reserved admin@nowcoder.com
- 京ICP备14055008号-4 增值电信业务经营许可证 营业执照 人力资源服务许可证
-
京公网安备
11010502036488号
