禁止浏览器跨域限制可通过传参数启动：解决Ajax跨域问题，调节浏览器的启动方式，--disable-web-security，即可解决，但是不推荐此方式。

Jsonp(JSON with Padding) 是 json 的一种"使用模式"，可以让网页从别的域名（网站）那获取资料，即跨域读取数据。

为什么我们从不同的域（网站）访问数据需要一个特殊的技术(JSONP )呢？这是因为同源策略。

同源策略，它是由Netscape提出的一个著名的安全策略，现在所有支持JavaScript 的浏览器都会使用这个策略。

禁止浏览器做检查校验

在Dos中 浏览器应用对应文件Appliction文件夹下输入

chrome --disable-web-security --user-data-dir=g:\temp3

springboot  添加一个filter

指定可以访问的域名

指定可以访问的方法

复杂请求每次都要发送两条请求，效率很低，可以通过将预检命令缓存来减少请求

设置方法是服务端响应头设置Access-Control-Max-Age，值是缓存时间

解决跨域的三种思路：

跨域问题的原因，跨域请求并不是服务器不允许请求，而是浏览器处于安全考虑拦截了返回值

浏览器，跨域（域名，端口，协议，任何一个不一致，就会被认为跨域），xmlHttpRequest请求，这三个同时满足时才可能发生跨域安全问题

解决跨域问题的思路，第一个浏览器端的修改，禁止浏览器做校验，启动浏览器的时候增加参数禁止浏览器

jsonp, jsonp后台需要改动，要不返回的是json格式的数据浏览器按照script标签解析就会出现错误

jsonp并不是一个官方协议，而是一个约定，如果请求具有cllbback参数就将返回值以脚本的形式

弊端，服务器需要改动，如果你的代码你就没有办法改动，就不可以使用jsonp

只支持get方法

跨域，被调用端配置，在响应头中加固定数据

简单请求和非简单请求

get head post 在请求头中没有自定义头

非简单请求在跨域的时候会先发送预解命令，如果被允许就可以访问，如未发现指定头信息的将不被允许获取，可以写拦截器对指定（全部方法进行拦截添加响应头）。如果每次非简单请求都发送两次请求的话会很影响性能，所以，定义非简单请求的响应头的时候是可以设置缓存的，在一定时间内浏览器会在本地缓存中获取响应头而不是访问后台获取

带cookie的跨域必须是完全匹配当期的域，不可以使用*作为通配符

存在的问题，如果想要完全匹配，就只能允许一个域访问，比如，我可以是用localhost和127.0.0.1都是代表本机，但是却只能通过一个，在跨域中请求头中的Origin保存着请求的域可以在filter中取到软后放入Access-control-allow-Origin响应头中这样就可以动态获得请求的域满足所有域的请求

aginx实现隐藏跨域： 在下面的a.com.conf文件中配置参数后，在前端代码中把请求http://localhost:8081/test地址改成代理地址/ajaxserver

当产生跨域的时候，请求头中会多一个字段，叫做origin，这个字段有当前域的信息。所以在发送带cookie的请求，后台又不知道调用方的域的信息时，可以先取到请求头中origin字段的值再赋值给响应头的access-control-allow-origin字段中。

带cookie的跨域（发送的cookie只能是被调用方的cookie，而不是调用方的cookie）

前面设置响应头Access-Control-Allow-Origin: *，可以解决跨域，但是在带cookie的跨域请求中就不能试用了，浏览器会报错

另外，浏览器还会报另一个错误

这是只需要在响应头中设置Access-Control-Allow-Credentials的值为true

总结：带cookie 的时候，origin必须是全匹配，不能试用*；第二就是要增加一个响应头

跨域解决方案：

1. 被调用方解决：在响应头增加指定字段，告诉浏览器允许调用。这种解决方案的请求是直接从浏览器发送的

2. 调用发解决：这是隐藏跨域的解决法案。这种跨域请求不是直接从浏览器发送的，而是从中间的http服务器转发过去的

JSONP的描述：

JSONP是一个非官方协议，是前后端的一种约定，约定如果请求参数中包含指定参数（默认是callback），这就是一个JSONP请求，服务器发现是JSONP请求之后，就会把之前返回的json对象改成js代码，js代码是 函数执行的方式，函数名是callback的参数值，函数参数是原本要返回的json对象

JSONP的弊端：

1. 需要服务器修改代码

2. 只支持get请求

3. 发送的不是XHR请求
   

解决思路：

1. 让浏览器不做限制，指定参数，让浏览器不做校验，但该方法不太合理，它需要每个人都去做改动。
   

2. 不要发出XHR请求，这样就算是跨域，浏览器也不会报错，解决方案是JSONP，通过动态创建一个script，通过script发出请求

3. 在跨域的角度：一种是被调用方修改代码，加上字段，告诉浏览器，支持跨域，支持调用方调用。第二种是调用方使用代理，在a域名里面的的请求地址使用代理指定到b域名。第一种是支持跨域，第二种是隐藏跨域

反向代理配置