ajax跨域的基本流程



 





1. AJAXAJAX(Asynchronous JavaScript and XML),意思就是用JavaScript执行异步网络请求。



主要可以通过架设代理服务器,JSONP和CORS三种方案实现跨域



用JavaScript写一个完整的AJAX代码并不复杂,但是需要注意:AJAX请求是异步执行的,也就是说,要通过回调函数获得响应。



创建ajax的过程一般如下:



创建XMLHttpRequest对象,也就是创建一个异步调用对象;判断XHR对象属性;创建一个新的HTTP请求,并指定该HTTP请求的方法、URL及验证信息;设置响应HTTP请求状态变化的函数;发送HTTP请求;获取异步调用返回的数据;使用JavaScript和DOM实现局部刷新。



代码。



var xmlhttp;function createXMLHttpRequest () {



xmlhttp = null; if (window.XMLHttpRequest) {



xmlhttp = new XMLHttpRequest();



} else if (window.ActiveXObject) {



xmlhttp = new ActiveXObject('Microsoft.XMLHTTP');



} // 异步调用服务器段数据



if (xmlhttp != null) { // 创建http请求



xmlhttp.open('GET/POST', url, true); // 设置http请求状态变化的函数



xmlhttp.onreadystatechange = httpStateChange; // 发送请求



xmlhttp.send(null);



} else { console.log('不支持XHR');



}



}



// 响应HTTP请求状态变化的函数function httpStateChange () { //判断异步调用是否完成



if (xmlhttp.readyState == 4) {//readyState==4表示后台处理完成了



if (xmlhttp.status >= 200 && xmlhttp.status < 300 || xmlhttp.status == 304){ //判断异步调用是否成功,如果成功开始局部更新数据



//code...



} else{ console.log("出错状态码:" + xmlhttp.status + "出错信息:" + xmlhttp.statusText);



}



}



}



对于低版本的IE,需要换一个ActiveXObject对象,如果你想把标准写法和IE写法混在一起,可以这么写。



var request;if (window.XMLHttpRequest) {



request = new XMLHttpRequest();



} else {



request = new ActiveXObject('Microsoft.XMLHTTP');



}



通过检测window对象是否有XMLHttpRequest属性来确定浏览器是否支持标准的XMLHttpRequest。注意,不要根据浏览器的navigator.userAgent来检测浏览器是否支持某个JavaScript特性,一是因为这个字符串本身可以伪造,二是通过IE版本判断JavaScript特性将非常复杂。



当创建了XMLHttpRequest对象后,要先设置onreadystatechange



的回调函数。在回调函数中,通常我们只需通过readyState === 4判断请求是否完成,如果已完成,再根据status判断是否是一个成功的响应。



XMLHttpRequest对象的open()方法有3个参数,第一个参数指定是GET还是POST,第二个参数指定URL地址,第三个参数指定是否使用异步,默认是true,所以不用写。注意,千万不要把第三个参数指定为false,否则浏览器将停止响应,直到AJAX请求完成。如果这个请求耗时10秒,那么10秒内你会发现浏览器处于假死状态。



最后调用send()方法才真正发送请求。GET请求不需要参数,POST请求需要把body部分以字符串或者FormData对象传进去。



2. 跨域安全限制



因为浏览器的同源策略,协议、域名、端口号若有一个不同,则不能访问。AJAX本身是不能跨域的,AJAX直接请求普通文件存在跨域无权限访问的问题,只要是跨域请求,一律不准;但是配合后台可以跨域。



因为同源策略限制的是浏览器但是对服务器不限制,服务器可以跨域。



那是不是用JavaScript无法请求外域(就是其他网站)的URL了呢?方法还是有的,大概有以下几种。



2.1 CORS



CORS(Cross-Origin Resource Sharing,跨源资源共享)是W3C的一个草案,定义了在必须访问跨域资源时,浏览器与服务器应该如何沟通。



CORS背后的基本思想就是使用自定义的HTTP头部让浏览器与服务器进行沟通,从而决定请求或响应是应该成功,还是应该失败。



比如一个简单的使用GET或者POST发送的请求,它没有自定义头部,而主体内容是text/plain。在发送该请求时,需要给它附加一个额外的Origin头部,其中包含请求页面的源信息(协议、域名和端口),以便服务器根据这个头部信息来决定是否给予响应。下面是Origin头部的一个示例。



如果服务器认为这个请求可以接受,就在Access-Control-Allow-Origin头部中回发相同的源信息(如果是公共资源,可以回发'*')。



如果没有这个头部,或者有这个头部但源信息不匹配,浏览器就会驳回请求。正常情况下,浏览器会处理请求。注意,请求进而响应都不包含cookie信息。



目前,所有浏览器都支持该功能,IE浏览器不能低于IE10。整个CORS通信过程,都是浏览器自动完成,不需要用户参与。对于开发者来说,CORS通信与同源的AJAX通信没有差别,代码完全一样。浏览器一旦发现AJAX请求跨源,就会自动添加一些附加的头信息,有时还会多出一次附加的请求,但用户不会有感觉。



因此,实现CORS通信的关键是服务器。只要服务器实现了CORS接口,就可以跨源通信。



平时的ajax请求可能是这样的:



<script type="text/javascript">



var xhr = new XMLHttpRequest();



xhr.open("POST", "/damonare",true);



xhr.send();</script>



以上damonare部分是相对路径,如果我们要使用CORS,相关Ajax代码可能如下所示:



<script type="text/javascript">



var xhr = new XMLHttpRequest();



xhr.open("GET", "http://segmentfault.com/u/trigkit4/",true);



xhr.send();</script>



代码与之前的区别就在于相对路径换成了其他域的绝对路径,也就是你要跨域访问的接口地址。



服务器端对于CORS的支持,主要就是通过设置Access-Control-Allow-Origin来进行的。如果浏览器检测到相应的设置,就可以允许Ajax进行跨域的访问。



2.2 图像Ping



我们知道,一个网页可以从任何网页中加载图像,不用担心跨域不跨域。这也是在线广告跟踪浏览量的主要方式。我们也可以动态的创建图像,使用它们的onload和onerror事件处理成西来确定是否接收到了响应。



动态创建图像经常用于图像Ping。



图像Ping是与服务器进行简单、单向的跨域通信的一种方式。请求的数据是通过查询字符串形式发送的,而响应可以是任意内容,但通常是像素图或204响应。通过图像Ping,浏览器得不到任何具体的数据,但通过侦听load和error事件,它能知道响应是什么时候收到的。



来看下面的例子。



var img = new Image();



img.onload = img.onerror = function () { console.log('Done');



};



img.src = 'http://www.example.com/test?name=Nico';



这里创建了一个Image的实例,然后将onload和onerror事件处理程序指定为同一个函数。这样无论是什么响应,只要请求完成,就能得到通知。请求从设置src属性那一刻开始,而这个例子在请求中发送了一个name参数。



图像Ping最常用于跟踪用户点击页面或动态广告曝光次数。



图像Ping有两个主要的缺点:



只能发送GET请求。无法访问服务器的响应文本。



因此,图像Ping只能用于浏览器与服务器间的单向通信。



2.3 JSONP



JSONP是JSON with padding(填充式JSON或参数式JSON)的简写,是应用JSON的一种新方法。JSONP与JSON看起来差不多,只不过是被包含在函数调用中的JSON,如下。



callback({'name': 'Azure'});



JSONP由两部分组成:回调函数和数据。回调函数是当响应到来时应该在页面中调用的函数。回调函数的名字一般是在请求中指定的,而数据就是传入回调参数中JSON数据。下面是一个典型的JSONP请求。



http://xxx.net/json/?callback=handleResponse



这个URL是在请求一个JSONP地理定位服务。通过查询字符串来指定JSONP服务的回调参数是很常见的,就像上面的URL所示,这里指定的回调函数的名字叫handleResponse()。



JSONP是通过动态<script>元素来使用的,使用时可以为src属性指定一个跨域URL。



这里的<scriot>元素与<img>元素类似,都有能力不受限制的从其他域加载资源。因为JSONP是有效的JS代码,所以在请求完成后,即在JSONP响应加载到页面中以后,就会立即执行。来看一个例子。



function handleResponse (response) {



console.log('u r at IP address ' + response.ip + ', which is in ' + response.city + ', ' + response.region_name);



}



var script = document.createElement('script');



script.src = 'http://xxx.net/json/?callback=handleResponse';



document.body.insertBefore(script, document.body.firstChild);



这个例子通过查询地理定位服务来显示IP地址和地理位置信息。



JSONP之所以在开发人员中极为流行,主要原因是它非常简单易用。与图像Ping相比,它的优点在于能够直接访问响应文本,支持在浏览器与服务器之间双向通信。不过,JSONP也有两点不足。



首先,安全性问题。JSONP是从其他域中加载代码执行。如果其他域不安全,很可能会在响应中夹带一些恶意代码,而此时除了完全放弃JSONP调用之外,没有办法追究。因此在使用不是自己运维的Web服务时,一定得保证它安全可靠。



其次,要确定JSONP请求是否失败并不容易。



CORS和JSONP对比



JSONP只能实现GET请求,而CORS支持所有类型的HTTP请求。使用CORS,开发者可以使用普通的XMLHttpRequest发起请求和获得数据,比起JSONP有更好的错误处理。SONP主要被老的浏览器支持,它们往往不支持CORS,而绝大多数现代浏览器都已经支持了CORS。





 


点赞(0) 打赏

评论列表 共有 0 条评论

暂无评论

热门产品

历史上的今天:03月29日

热门专题

卓越综合高中|卓越综合高中
卓越综合高中
弥勒综合高中|弥勒综合高中
弥勒综合高中
国家开放大学|国家开放大学报名,国家开放大学报考,国家开放大学,什么是国家开放大学,国家开放大学学历,国家开放大学学费,国家开放大学报名条件,国家开放大学报名时间,国家开放大学学历,国家开放大学专业
国家开放大学
综合高中|云南综合高中,昆明综合高中,综合高中能考本一吗,综合高中和普通高中的区别,综合高中是什么意思,综合高中能参加全国统一高考吗,综合高中可以考哪些大学,综合高中的学籍是什么
综合高中
中源管业|中源管业,中源管业公司,中源管业有限公司,中源管业电话,中源管业地址,中源管业电力管,中源管业mpp电力管,中源管业cpvc电力管,中源管业pe穿线管
中源管业
一年制中专|中专学历,中专是什么学历,中专是什么,中专有什么专业,中专升大专,一年制中专
一年制中专
自考本科|自考本科有用吗,自考文凭,自考本科文凭,自考文凭有用吗,自考本科文凭有用吗,自考文凭承认吗
自考本科
昆明网站建设|昆明网站建设,昆明网站开发,昆明网站建设公司,昆明网站建设价格,昆明网站设计,昆明网站制作,网页设计,高端网站建设,高端网站设计
昆明网站建设

微信小程序

微信扫一扫体验

立即
投稿

微信公众账号

微信扫一扫加关注

发表
评论
返回
顶部