精华内容
下载资源
问答
  • 尝试描述下想要实现的功能, 假如你登录上了一个网站, 首页有几个超链接, 其中大部分都是同源网址, 但是有一个网址是并非同源, 也就是ip地址和域名不一样, 但是这个超链接网址里面的东西实际上是这个网站的东西,而且...
  • 网站同源策略

    2017-09-25 11:32:00
    所谓"同源"指的是"三个相同":协议,域名,端口。 举例来说,http://www.example.com/dir/page.html这个网址,协议是http://,域名是www.example.com,端口是80(默认端口可以省略)。 它的同源情况如下。 ...

    所谓"同源"指的是"三个相同":协议,域名,端口。

    举例来说,http://www.example.com/dir/page.html这个网址,协议是http://,域名是www.example.com,端口是80(默认端口可以省略)。

    它的同源情况如下。

    • http://www.example.com/dir2/other.html:同源
    • http://example.com/dir/other.html:不同源(域名不同)
    • http://v2.www.example.com/dir/other.html:不同源(域名不同)
    • http://www.example.com:81/dir/other.html:不同源(端口不同)

    同源政策的目的,是为了保证用户信息的安全,防止恶意的网站窃取数据。

    随着互联网的发展,"同源政策"越来越严格。目前,如果非同源,共有三种行为受到限制。

    (1) Cookie、LocalStorage 和 IndexDB 无法读取。

    (2) DOM 无法获得。

    (3) AJAX 请求不能发送。

    虽然这些限制是必要的,但是有时很不方便,合理的用途也受到影响。那么如何规避上面三种限制:

    1.cookie

    Cookie 是服务器写入浏览器的一小段信息,只有同源的网页才能共享。但是,两个网页一级域名相同,只是二级域名不同,浏览器允许通过设置document.domain共享 Cookie。

    举例来说,A网页是http://w1.example.com/a.html,B网页是http://w2.example.com/b.html,那么只要设置相同的document.domain,两个网页就可以共享Cookie。

    这种方法只适用于 Cookie 和 iframe 窗口,LocalStorage 和 IndexDB 无法通过这种方法,规避同源政策,而要使用下文介绍的PostMessage API。

    另外,服务器也可以在设置Cookie的时候,指定Cookie的所属域名为一级域名,比如.example.com

    Set-Cookie: key=value; domain=.example.com; path=/

    这样的话,二级域名和三级域名不用做任何设置,都可以读取这个Cookie。

    2.iframe

    如果两个网页不同源,就无法拿到对方的DOM。典型的例子是iframe窗口和window.open方法打开的窗口,它们与父窗口无法通信。

    比如,父窗口运行下面的命令,如果iframe窗口不是同源,就会报错。

    document.getElementById("myIFrame").contentWindow.document

    上面命令中,父窗口想获取子窗口的DOM,因为跨源导致报错。

    反之亦然,子窗口获取主窗口的DOM也会报错。

    如果两个窗口一级域名相同,只是二级域名不同,那么设置上一节介绍的document.domain属性,就可以规避同源政策,拿到DOM。

    对于完全不同源的网站,目前有三种方法,可以解决跨域窗口的通信问题。

    • 片段识别符(fragment identifier)
    • window.name
    • 跨文档通信API(Cross-document messaging)

    2.1片段识别符

    片段标识符(fragment identifier)指的是,URL的#号后面的部分,比如http://example.com/x.html#fragment#fragment。如果只是改变片段标识符,页面不会重新刷新。

    父窗口可以把信息,写入子窗口的片段标识符。

    var src = originURL + '#' + data;
    document.getElementById('myIFrame').src = src;
    子窗口通过监听hashchange事件得到通知。
    window.onhashchange = checkMessage;
    
    function checkMessage() {
      var message = window.location.hash;
      // ...
    }

    同样的,子窗口也可以改变父窗口的片段标识符。
    parent.location.href= target + "#" + hash;

    2.2document.name

    浏览器窗口有window.name属性。这个属性的最大特点是,无论是否同源,只要在同一个窗口里,前一个网页设置了这个属性,后一个网页可以读取它。

    父窗口先打开一个子窗口,载入一个不同源的网页,该网页将信息写入window.name属性。

    window.name = data;

    接着,子窗口跳回一个与主窗口同域的网址。

    location = 'http://parent.url.com/xxx.html';

    然后,主窗口就可以读取子窗口的window.name了。

    var data = document.getElementById('myFrame').contentWindow.name;

    这种方法的优点是,window.name容量很大,可以放置非常长的字符串;缺点是必须监听子窗口window.name属性的变化,影响网页性能。

    2.3window.postMessage

    上面两种方法都属于破解,HTML5为了解决这个问题,引入了一个全新的API:跨文档通信 API(Cross-document messaging)。

    这个API为window对象新增了一个window.postMessage方法,允许跨窗口通信,不论这两个窗口是否同源。

    举例来说,父窗口http://aaa.com向子窗口http://bbb.com发消息,调用postMessage方法就可以了。

    var popup = window.open('http://bbb.com', 'title');
    popup.postMessage('Hello World!', 'http://bbb.com');

    postMessage方法的第一个参数是具体的信息内容,第二个参数是接收消息的窗口的源(origin),即"协议 + 域名 + 端口"。也可以设为*,表示不限制域名,向所有窗口发送。

    子窗口向父窗口发送消息的写法类似。

    window.opener.postMessage('Nice to see you', 'http://aaa.com');

    父窗口和子窗口都可以通过message事件,监听对方的消息。

    window.addEventListener('message', function(e) {
      console.log(e.data);
    },false);

    message事件的事件对象event,提供以下三个属性。

    • event.source:发送消息的窗口
    • event.origin: 消息发向的网址
    • event.data: 消息内容

    下面的例子是,子窗口通过event.source属性引用父窗口,然后发送消息。

    window.addEventListener('message', receiveMessage);
    function receiveMessage(event) {
      event.source.postMessage('Nice to see you!', '*');
    }

    event.origin属性可以过滤不是发给本窗口的消息。

    window.addEventListener('message', receiveMessage);
    function receiveMessage(event) {
      if (event.origin !== 'http://aaa.com') return;
      if (event.data === 'Hello World') {
          event.source.postMessage('Hello', event.origin);
      } else {
        console.log(event.data);
      }
    }

    2.4 LocalStorage

    通过window.postMessage,读写其他窗口的 LocalStorage 也成为了可能。

    下面是一个例子,主窗口写入iframe子窗口的localStorage

    
    window.onmessage = function(e) {
      if (e.origin !== 'http://bbb.com') {
        return;
      }
      var payload = JSON.parse(e.data);
      localStorage.setItem(payload.key, JSON.stringify(payload.data));
    };
    

    上面代码中,子窗口将父窗口发来的消息,写入自己的LocalStorage。

    父窗口发送消息的代码如下。

    
    var win = document.getElementsByTagName('iframe')[0].contentWindow;
    var obj = { name: 'Jack' };
    win.postMessage(JSON.stringify({key: 'storage', data: obj}), 'http://bbb.com');
    

    加强版的子窗口接收消息的代码如下。

    
    window.onmessage = function(e) {
      if (e.origin !== 'http://bbb.com') return;
      var payload = JSON.parse(e.data);
      switch (payload.method) {
        case 'set':
          localStorage.setItem(payload.key, JSON.stringify(payload.data));
          break;
        case 'get':
          var parent = window.parent;
          var data = localStorage.getItem(payload.key);
          parent.postMessage(data, 'http://aaa.com');
          break;
        case 'remove':
          localStorage.removeItem(payload.key);
          break;
      }
    };
    

    加强版的父窗口发送消息代码如下。

    
    var win = document.getElementsByTagName('iframe')[0].contentWindow;
    var obj = { name: 'Jack' };
    // 存入对象
    win.postMessage(JSON.stringify({key: 'storage', method: 'set', data: obj}), 'http://bbb.com');
    // 读取对象
    win.postMessage(JSON.stringify({key: 'storage', method: "get"}), "*");
    window.onmessage = function(e) {
      if (e.origin != 'http://aaa.com') return;
      // "Jack"
      console.log(JSON.parse(e.data).name);
    };
    

    3、AJAX

    同源政策规定,AJAX请求只能发给同源的网址,否则就报错。

    除了架设服务器代理(浏览器请求同源服务器,再由后者请求外部服务),有三种方法规避这个限制。

    • JSONP
    • WebSocket
    • CORS

    3.1 JSONP

    JSONP是服务器与客户端跨源通信的常用方法。最大特点就是简单适用,老式浏览器全部支持,服务器改造非常小。

    它的基本思想是,网页通过添加一个<script>元素,向服务器请求JSON数据,这种做法不受同源政策限制;服务器收到请求后,将数据放在一个指定名字的回调函数里传回来。

    首先,网页动态插入<script>元素,由它向跨源网址发出请求。

    
    function addScriptTag(src) {
      var script = document.createElement('script');
      script.setAttribute("type","text/javascript");
      script.src = src;
      document.body.appendChild(script);
    }
    
    window.onload = function () {
      addScriptTag('http://example.com/ip?callback=foo');
    }
    
    function foo(data) {
      console.log('Your public IP address is: ' + data.ip);
    };
    

    上面代码通过动态添加<script>元素,向服务器example.com发出请求。注意,该请求的查询字符串有一个callback参数,用来指定回调函数的名字,这对于JSONP是必需的。

    服务器收到这个请求以后,会将数据放在回调函数的参数位置返回。

    
    foo({
      "ip": "8.8.8.8"
    });
    

    由于<script>元素请求的脚本,直接作为代码运行。这时,只要浏览器定义了foo函数,该函数就会立即调用。作为参数的JSON数据被视为JavaScript对象,而不是字符串,因此避免了使用JSON.parse的步骤。

    3.2 WebSocket

    WebSocket是一种通信协议,使用ws://(非加密)和wss://(加密)作为协议前缀。该协议不实行同源政策,只要服务器支持,就可以通过它进行跨源通信。

    下面是一个例子,浏览器发出的WebSocket请求的头信息(摘自维基百科)。

    
    GET /chat HTTP/1.1
    Host: server.example.com
    Upgrade: websocket
    Connection: Upgrade
    Sec-WebSocket-Key: x3JJHMbDL1EzLkh9GBhXDw==
    Sec-WebSocket-Protocol: chat, superchat
    Sec-WebSocket-Version: 13
    Origin: http://example.com
    

    上面代码中,有一个字段是Origin,表示该请求的请求源(origin),即发自哪个域名。

    正是因为有了Origin这个字段,所以WebSocket才没有实行同源政策。因为服务器可以根据这个字段,判断是否许可本次通信。如果该域名在白名单内,服务器就会做出如下回应。

    
    HTTP/1.1 101 Switching Protocols
    Upgrade: websocket
    Connection: Upgrade
    Sec-WebSocket-Accept: HSmrc0sMlYUkAGmm5OPpG2HaGWk=
    Sec-WebSocket-Protocol: chat
    

    3.3 CORS

    CORS是跨源资源分享(Cross-Origin Resource Sharing)的缩写。它是W3C标准,是跨源AJAX请求的根本解决方法。相比JSONP只能发GET请求,CORS允许任何类型的请求。

     



     

    转载于:https://www.cnblogs.com/darkdaidai/p/7591098.html

    展开全文
  • 浏览器同源政策限制

    2019-11-07 10:03:54
    同源政策限制是一个安全机制,(一个页面的js不允许加载另一个页面的js...同源网站: 协议相同 域名相同 端口相同 有: http,https,file 有: localhost xiagnzizhuye.top 有: :8080 :3001 绕过同源政策 ...
    1. 同源政策限制是一个安全机制,(一个页面的js不允许加载另一个页面的js)

    2. 不受同源限制:同源的网站

    同源网站: 协议相同 域名相同 端口相同
    有: http,https,file 有: localhost xiagnzizhuye.top 有: :8080 :3001
    1. 绕过同源政策
    展开全文
  • 浏览器同源策略 ... 同源策略:浏览器的一套安全...同源策略,隔离了不同源网站的cookie,拦截不同源的请求,只允许同源网站的脚本运行,保证了web网站的安全。 如果没有同源策略,当你打开银行网站,同时又打开了另...

    浏览器同源策略

    同源:如果两个页面拥有相同的协议(如http,https等),端口(80,443)和域名(www.happyjava.cn),那么这两个页面就属于同一个源。

    同源策略:浏览器的一套安全机制,这些安全机制都以同源为限制条件。同源策略,隔离了不同源网站的cookie,拦截不同源的请求,只允许同源网站的脚本运行,保证了web网站的安全。

    如果没有同源策略,当你打开银行网站,同时又打开了另外一个恶意网站。这时,恶意网站就有能力修改你这个网站的dom,使你后续发送的请求都发送到恶意网站的服务器上,然后恶意网站就能获取到你的cookie等信息,将会对个人的隐私财产构成巨大的威胁。

    同源策略的缺点和权衡

    如果严格的遵循同源策略,也会面临很多的问题。比如,图片,css,js等都得从同域名网站下去获取,个人网站,小网站这样是没问题的。但是对于用户量很大的网站,显然对服务器的压力将会很大,图片等大文件都会占用服务器的带宽。

    不要安全不行,不要性能也不行。在安全和性能上的考虑,使得现代浏览器在安全性和可用性之间选择了一个平衡。所以,现在的浏览器,对于一些资源标签,都开了后门权限。比如,img script style等标签,都允许垮域引用资源,严格说这都是不符合同源要求的。

    跨域请求

    了解了浏览器的同源策略之后,可以接着谈谈跨域请求的问题了。因为同源策略的存在,所以跨域的AJAX都是会被浏览器拦截下来的。我们先来看一个例子:

    这是一个andt-pro的页面,有个请求当前用户的方法,然后把用户信息显示在右上角。由于是前后端分离开发的,所以前端页面在http://localhost:8000上,后端接口在http://localhost:8080上,这就是不同源了。请求的结果如下:

    浏览器同源策略和跨域请求

    我在后端的接口里也做了请求输出:

    @GetMapping(value = "/currentUser")
    public Object currentUser() {
     System.out.println("请求过来了");
     Map map = new HashMap();
     map.put("name", "Happy");
     map.put("avatar", "http://locahost:8080/head.jpg");
     return map;
    }
    

    浏览器同源策略和跨域请求

    通过上面两个结果,可以明显看出,请求是成功了的。但是,结果却被浏览器给拦截了: xxx has been blocked by CORS policy: No ‘Access-Control-Allow-Origin’ header is present on the requested resource。

    解决跨域问题

    之前我写了【快学springboot】6.WebMvcConfigurer配置静态资源和解决跨域,在这篇文章里,我介绍了如何通过springboot的配置解决跨域问题。其实解决跨域问题有很多种方式,这里暂时不做其他探讨了。有时间会再写一篇文章来总结。

    解决了跨域问题之后,刷新之前的页面:

    浏览器同源策略和跨域请求

    请求成功,昵称和头像都出来了。

    安全防范

    现在的浏览器,在安全和性能上做了权衡,并不是严格遵循同源策略的。所以,在开发web的时候,要注意防范XSS攻击等。别被利用XSS漏洞,通过输入框,给你注入了恶意的js代码等。

    关注公众号领资料

    搜索公众号【Happyjava】,回复【电子书】和【视频】,即可获取大量优质电子书和大数据、kafka、nginx、MySQL等视频资料
    关注获取资料

    展开全文
  • 直系同源基因数据库以及网站开发

    千次阅读 2016-04-12 14:38:28
    直系同源基因数据库以及网站开发 项目描述 近年来, 随着第二代测序技术的快速发展,,测序数据急剧增加. 因此, 需要更多的生物信息学方法对其进行分析研究. 由于直系同源基因之间具有相似的生物学功能, 它的识别对于...

    直系同源基因数据库以及网站开发

    项目描述

         近年来, 随着第二代测序技术的快速发展,,测序数据急剧增加. 因此, 需要更多的生物信息学方法对其进行分析研究. 由于直系同源基因之间具有相似的生物学功能, 它的识别对于分析生物的系统进化以及预测新基因与蛋白质的功能至关重要。
         本小组在熊清老师的指导下,旨在建立一部分物种的直系同源基因数据库,并开发相应的网站提供给用户查询和浏览直系同源的基因信息。 
    

    我们的工作

    1. 呈现方式

      其实国外直系同源基因数据库也有,并且还不少,比如phylomedb,但是他们在对于系统发育树的表达上采用的方式比较传统的贴图示表达,我们希望用一种类似echarts的方式动态的方式去展示:点击每一个节点可以看到它们的详细信息,发育树能够一种动态的方式呈现在查询者的面前 
      

      这里写图片描述
      这里写图片描述

    2. 数据来源

      Phylomedb它其实是有自己的一套基因数据库,并且将查好的系统发育树用一种数据格式存储起来,以快速响应用户的查询。正式由于这种专业化,使得几乎每个直系同源基因数据库都只包含几个物种或者更多个几十个物种的进化数据。事想下,如果你作为一个生物信息学者,你想要查询某种独特物种的进化史,你可能得着n个直系同源基因数据库,使用他们各自的方法去获得自己想要的数据。而我们希望我们可以以小量的数据去说明这样一种得到指定物种进化数据的方法。
      

      这里写图片描述

    3. 项目需求

      1、在linux服务器上搭建直系同源基因数据库,由于基因数据库比较复杂,需要对数据库进行优化
      2、开发web程序,生成物种的系统发育树,和树对应的其他基因信息。
      
    4. 项目计划

      这里写图片描述

    展开全文
  • 同源策略

    2019-10-05 02:37:26
    同源策略的目的,是为了保证用户信息的安全,防止恶意的网站窃取数据 设想这样一种情况:A网站是一家银行,用户登录以后,又去浏览其他网站。如果其他网站可以读取A网站的 Cookie,会发生什么? 很显然,如果 Cook.....
  • 浏览器同源策略同源:如果两个页面拥有相同...同源策略,隔离了不同源网站的cookie,拦截不同源的请求,只允许同源网站的脚本运行,保证了web网站的安全。如果没有同源策略,当你打开银行网站,同时又打开了另外一个...
  • 同源:协议、域名、端口相同的网站就是同源网站ajax不能向非同源服务器发送请求。其实请求可以发送出去,但是浏览器拒绝接收响应。jsonp解决同源限制问题它不属于ajax请求,但是模拟的ajax1.用script标签向非同源的...
  • 同源:协议、域名、端口相同的网站就是同源网站ajax不能向非同源服务器发送请求。其实请求可以发送出去,但是浏览器拒绝接收响应。jsonp解决同源限制问题它不属于ajax请求,但是模拟的ajax1.用script标签向非同源的...
  • 当从服务器的一个资源访问另一个资源时: ...有的网站为了可以让其他不同源的资源访问到在服务端设置响应头 例如php: header('Access-Control-Allow-Origin:*'); 这样任何不同源的资源都可以访问到他 当然还有另...
  • 同源与跨域

    2017-08-28 11:50:00
    一、同源:指三个相同:协议相同,域名相同,端口相同,不同源网站不可以相互访问 同源的目的:保证用户信息的安全,防止恶意的网站窃取数据。同源策略是必须的,如果cookie在不同源网站共享,那么互联网将毫无...
  • 同源政策的目的,是为了保证用户信息的安全,防止恶意的网站窃取数据。设想这样一种情况:A网站是一家银行,用户登录以后,又去浏览其他网站。如果其他网站可以读取A网站的 Cookie,会发生什么? 不同源的情况会有...
  • 关于同源策略

    2021-01-31 22:48:35
    恩,你现在打开了浏览器,在一 个tab窗口中打开了银行网站,在另外一个tab窗口中打开了一个恶意网站,而那个恶意网站挂了一个的专门修改银行信息的JavaScript,当你访问 这个恶意网站并且执行它JavaScript
  • Ajax同源政策

    2020-07-29 22:23:35
    但是 A网站不能向B网站服务器发送Ajax请求的,同理B网站也不能像A网站服务器发送Ajax请求 这是因为浏览器有同源政策的限制 2. 什么是同源 同:相同的意思。源:来源的意思。 如果两个页面拥有相同的协议、域名、...
  • javascript同源策略

    千次阅读 2016-03-01 19:50:51
    一个浏览器中,打开一个银行网站和一个恶意网站,如果恶意网站能够对银行网站进行修改,那么就会很危险。 如果某个网站可以通过从其他的网站中获取页面到自己的网站,那么对那些做原创网站的站长就很不公平。 同源...
  • 浏览器同源策略

    2018-06-16 06:03:48
     协议相同 域名相同 端口相同同源策略的限制 cookie,localstorage,无法读取 dom无法获取 ajax无法发送为什么会有同源策略 是为了保证用户信息的安全,防止恶意的网站窃取数据。 对cookie的保护 cookie 中存着...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 1,928
精华内容 771
关键字:

同源网站