javascript - 关于同源政策....我可以这样做吗？

Question

我有一个 siteA，而 JS 在 siteB 中。siteB JS 获取 siteB 域以在 AJAX POST 请求中返回 JSON。然后，根据siteB域中的信息，使用siteB JS通过JS中的一些create document技术注入(inject)site A网站。如果违反同源政策，还有其他建议吗？谢谢。

(我只有siteB的控制权。)

Answer 1

人们在处理这类事情时一般会想到三个来源:

1. 页面 (http://example.com/)
2. 脚本 (http://example.net/foo.js)
3. 数据 (http://example.net/bar.json)

在计算是否使用“相同”来源时，经常会混淆比较哪些。 只有页面的来源和数据很重要。脚本本身的加载位置无关紧要。

在这种情况下:

1. 页面:A
2. 脚本:B(不相关)
3. 数据:B

由于页面和数据来自不同的来源，您无法从页面读取数据。

既然要发起POST请求:通过A代理HTTP请求。(JSON-P，另一种经典的跨域Ajax技术，严格限于GET请求。)

您也可以考虑使用 Cross-Origin Resource Sharing它允许您覆盖同源策略，但浏览器支持有限。