html - 跨域表单发布

Question

我看过关于这个主题的文章和帖子(包括 SO)，普遍的评论是同源策略阻止了跨域的表单 POST。我看到有人建议同源政策不适用于表单帖子的唯一地方，is here .

我想从更“官方”或正式的来源获得答案。例如，有谁知道解决同源如何影响或不影响表单 POST 的 RFC？

澄清:我不是在问是否可以构造 GET 或 POST 并将其发送到任何域。我在问:

1. 如果 Chrome、IE 或 Firefox 允许域“Y”中的内容向域“X”发送 POST
2. 如果接收 POST 的服务器实际上会看到任何表单值。我这样说是因为大多数在线讨论记录测试人员说服务器收到了帖子，但表单值都是空的/被删除了。
3. 什么官方文档(即 RFC)解释了预期的行为是什么(无论浏览器当前实现了什么)。

顺便说一句，如果同源不影响表单 POST——那么它就更清楚为什么需要防伪标记。我说“有点”是因为似乎很容易相信攻击者可以简单地发出 HTTP GET 来检索包含防伪 token 的表单，然后进行包含相同 token 的非法 POST。评论？

Answer 1

同源策略仅适用于浏览器端编程语言。因此，如果您尝试使用 JavaScript 发布到与原始服务器不同的服务器，那么同源策略就会发挥作用，但如果您直接从表单发布，即操作指向不同的服务器，例如:

<form action="http://someotherserver.com">

并且在发布表单时不涉及javascript，则同源策略不适用。

参见 wikipedia了解更多信息