web安全一，同源策略与跨域
何为同源策略
同源策略是浏览器实现的一种安全策略，它限制了不同源之间的文档和脚本交互的权限。只有同一个源的脚本才会具有操作dom、读写cookie、session 、ajax等敏感操作的权限。可以说同源策略在web安全中扮演着及其重要的角色。所谓同源简单来说即是两个页面必须具有相同的协议、端口还有域名。
以http://www.site.com/index.html为例，举个小栗子：
| url | 是否跨域 | 原因 |
| http://www.site.com/other/ind... | 否 | |
| http://child.site.com/index.html | 是 | origin 不一样（www与child） |
| http://www.site.com:8090/index.html | 是 | 端口 不一样（80与8090） |
| https://www.site.com/index.html | 是 | 协议 不一样（http与https） |
IE是个例外
不得不调侃一下，在兼容性方面IE似乎永远都难以跟上别的浏览器发展的步伐，永远都是一个例外。
- 授信范围（Trust Zones）：两个相互之间高度互信的域名，如公司域名（corporate domains），不遵守同源策略的限制。
- 端口：IE未将端口号加入到同源策略的组成部分之中，因此 http://www.size.com:81/index.html 和http://www.size.com:8090/index.html 属于同源并且不受任何限制。
虽然同源策略限制了跨域文档脚本的操作能力，但明确允许部分资源性的标签是可以加载跨域资源的，如<img>,<script>。部分具有跨域能力的标签如下,来源于MDN：
- <script src="..."></script> 标签嵌入跨域脚本。语法错误信息只能在同源脚本中捕捉到。
- <link rel="stylesheet" href="...">标签嵌入CSS。由于CSS的松散的语法规则，CSS的跨域需要一个设置正确的Content-Type消息头。
- <img>嵌入图片。
- <video> 和 <audio>嵌入多媒体资源。
- <object>, <embed> 和 <applet>的插件。
- @font-face引入的字体。
- <frame> 和 <iframe>载入的任何资源。站点可以使用X-Frame-Options消息头来阻止这种形式的跨域交互。
跨域的方法
在浏览器同源策略的安全限制下，跨域的需求仍然是有的。这种需求可以分为正当的和不正当的。具体来说不正当的就是，第三方恶意网站利用同源策略的一些漏洞，对目标网站进行一些不允许的操作，这种操作我们称之为跨域攻击。具体可以参照我的另外几篇博客：
- CSRF攻击（跨域伪请求）
- XSS攻击（跨域脚本攻击）
正当的跨域请求可以是: 一些大集团下面的几个子域名之间的跨域交互，也可以是合作网站之间的跨域交互等等，总之就是被允许的。下面来具体说说实现这种正当跨域的几种方法：
写在前面： 所有的跨域方法都会带来安全性的问题，一旦恶意网站能够成功在目标网站运行脚本或者具有操作的能力，他们也就具有了目标网站的跨域能力。document.domain
脚本可以将 document.domain 的值设置为其当前域或其当前域的超级域。
这种方法的优点就是：简单，只要在前端js中设置就好了
弊端：只适合用于子域与父域之间还有子域之间的跨域
CORS / Access-Control-Allow-Origin: *
实现起来异常简单，主要是通过在服务器设置HttpHeader，客户端检查自己的域是否在允许列表中，决定是否处理响应。详情请参考CORS MDN, 利用CORS实现跨域请求
服务器端可以在HTTP的响应头中加入（页面层次的控制模式）：
Access-Control-Allow-Origin: example.com
Access-Control-Request-Method: GET, POST
Access-Control-Allow-Headers: Content-Type, Authorization, Accept, Range, Origin
Access-Control-Expose-Headers: Content-Range
Access-Control-Max-Age: 3600
多个域名之间用逗号分隔，表示对所示域名提供跨域访问权限。"*"表示允许所有域名的跨域访问。
此方法的优点：简单快捷，配置简单，基本可以解决任何域的跨域问题
弊端：仅适用与客户端与跨域服务器的交互；另外具有浏览器的兼容性问题，不兼容IE7以及以下。
在IE8——IE9 中要使用xhr = new XDomainRequest();来替代xhr = new XMLHttpRequest();
查看跨域脚本的错误
在以前，当尝试使用 window.onerror 去记录跨域脚本的错误时，只会返回 Script error, 没法获取到具体的报错信息。这种情况在html5中得到了改观，html新加了一个crossorigin属性，允许捕获跨域脚本的详细错误信息，但是有两个条件：
- 跨域脚本的服务器必须通过 Access-Controll-Allow-Origin 头信息允许当前域名可以获取错误信息
- 当前域名的 script 标签也必须指明 src 属性指定的地址是支持跨域的地址，也就是要添加crossorigin 属性
crossorigin 具有两个值：anonymous: 请求不带 credentials flag .use-credentials: 请求携带 credentials flag .
credentials flag 也就是常说的cookies, client-side SSL certificates
window.postMessage
postMessage是HTML5新的语法特性，可以让跨域的脚本之间进行交互，主要分为消息的发送端和消息的接收端。
发送端：otherWindow是其他窗口的一个引用，比如iframe的contentWindow属性、执行window.open返回的窗口对象、或者是命名过或数值索引的window.frames。
otherWindow.postMessage( message, // 要发送到其他窗体的消息，可以传送任何数据对象 targetOrigin, // 消息要发送到的域，由完整的协议、地址、端口组成 [transfer] // 这是一个可选的抽象接口 );
otherWindow.postMessage() 方法被调用时，会在所有页面脚本执行完毕之后（e.g., 在该方法之后设置的事件、之前设置的timeout 事件,etc.）向目标窗口派发一个 MessageEvent 消息。
接收端：
window.addEventListener("message", receiveMessage, false);
function receiveMessage(event)
{
// For Chrome, the origin property is in the event.originalEvent
// object.
var origin = event.origin || event.originalEvent.origin;
if (origin !== "http://example.org:8080")
return;
// ...
}message 事件，包含4个参数
- message 属性表示该message 的类型；
- data 属性为 window.postMessage 的第一个参数即message；
— origin 调用window.postMessage() URI
— source 调用window.postMessage() 的窗口对象
兼容性：在 Gecko 6.0 (Firefox 6.0 / Thunderbird 6.0 / SeaMonkey 2.3)之前， 参数 message 必须是一个字符串。而IE10下面也有奇怪的问题
优点：适合同一个浏览器两个跨域页面之间的脚本交互
弊端：只能从窗口的引用（也就是window.open或者window.frames[0].contentWindow）发送消息到目标窗口,适用的范围有限
JSONP
jsonp 是比较古老的跨域方法，也是比较常用的跨域
具体来说，它的实现如下：
function jsonp(url,data,callbackName) {
var script = document.createElement('script');
var src = url+ '?'+ data+ 'calback='+callbackName;
script.src = src;
document.head.appendChild(script);
}
function callbackName(data){
// data from server;
}JSONP的坑
因为在jquery中JSONP使用的是ajax的封装接口，很多人它会是ajax的一种技术，实际上它是利用<script>标签天生具有跨域能力的一种技术，所以很多人在jquery中使用JSONP时都会踩坑。
- 坑一：同步，很多人会想当然地使用ajax的同步参数
async来实现同步。实际上jsonp只有异步，因为script是异步加载的 - 坑二：错误回调，在使用jquery的过程，很多人会使用ajax的
error和fail接口，来捕获跨域的异常返回。ajax的错误接口只能捕获请求超时、终止、json解析错误等正常的错误，但是对于网络不通、服务器异常，jquery是选择静默地失败的。
那怎么捕获jsonp的异常呢？
实际上<script>标签在遇到这些错误时会触发error事件。所以上面的代码我们可以稍微改一下，增加一个捕获异常的回调
function jsonp(url,data,callbackName,errorbackName) {
var script = document.createElement('script');
var src = url+ '?'+ data+ 'calback='+callbackName;
script.src = src;
script.onerror = errorbackName;
document.head.appendChild(script);
}
function callbackName(data){
// data from server;
}另外在jquery中的处理主要有两种方法,参考 jQuery使用JSONP时的错误处理
- 手动暴露jsonp 的错误接口
var head = document.head || $('head')[0] || document.documentElement; // code from jquery
var script = $(head).find('script')[0];
script.onerror(function(evt) {
alert('error');
});- 使用jsonp的拓展库
针对jquery处理jsonp的坑，早有大神封装好插件，直接引用就可以了，方便快捷省心。传送门
【相关】
web安全，是一个很重要的技能，也是一个领域的知识。我把这个领域的东西写成了一个系列，以后还会继续完善下去：
web安全一：同源策略与跨域
web安全二：CSRF 攻击
web安全三：XSS 攻击