跨域腳本

Ⅰ 在Jenkins中報嚴重違規：Servlet反射跨域腳本漏洞 writer.print(value);

腳本（script）是使用一種特定的描述性語言，依據一定的格式編寫的可執行文件，又稱作宏或批處理文件。腳本是批處理文件的延伸，是一種純文本保存的程序，一般來說的計算機腳本程序是確定的一系列控制計算機進行運算操作動作的組合，在其中可以實現一定的邏輯分支等。

Ⅱ 為什麼要跨域以及跨域的作用是什麼

跨域，指的是瀏覽器不能執行其他網站的腳本。它是由瀏覽器的同源策略造成的，是瀏覽器對javaScript施加的安全限制。

Ⅲ 跨域有哪幾種方式

跨源資源共享

通過 XHR 實現 Ajax 通信的一個主要限制,來源於跨域安全策略。默認情況下,XHR 對象只能訪 問與包含它的頁面位於同一個域中的資源。這種安全策略可以預防某些惡意行為。但是,實現合理的跨 域請求對開發某些瀏覽器應用程序也是至關重要的。

CORS(Cross-Origin Resource Sharing,跨源資源共享)是 W3C 的一個工作草案,定義了在必須訪 問跨源資源時,瀏覽器與伺服器應該如何溝通。CORS 背後的基本思想,就是使用自定義的 HTTP 頭部 讓瀏覽器與伺服器進行溝通,從而決定請求或響應是應該成功,還是應該失敗。

比如一個簡單的使用 GET 或 POST 發送的請求,它沒有自定義的頭部,而主體內容是 text/plain。在 發送該請求時,需要給它附加一個額外的 Origin 頭部,其中包含請求頁面的源信息(協議、域名和端 口),以便伺服器根據這個頭部信息來決定是否給予響應。下面是 Origin 頭部的一個示例:

這個例子通過查詢地理定位服務來顯示你的 IP 地址和位置信息。
JSONP 之所以在開發人員中極為流行,主要原因是它非常簡單易用。與圖像 Ping 相比,它的優點 在於能夠直接訪問響應文本,支持在瀏覽器與伺服器之間雙向通信。不過,JSONP 也有兩點不足。

• 首先,JSONP 是從其他域中載入代碼執行。如果其他域不安全,很可能會在響應中夾帶一些惡意代碼,而此時除了完全放棄 JSONP 調用之外,沒有辦法追究。因此在使用不是你自己運維的 Web 服務時, 一定得保證它安全可靠。

  
  

• 其次,要確定 JSONP 請求是否失敗並不容易。雖然 HTML5 給<script>元素新增了一個 onerror 事件處理程序,但目前還沒有得到任何瀏覽器支持。為此,開發人員不得不使用計時器檢測指定時間內是否接收到了響應。但就算這樣也不能盡如人意,畢竟不是每個用戶上網的速度和帶寬都一樣。

  
  

參考：javascript高級程序設計第21章

Ⅳ 什麼是跨域

跨域就是跨，領域區域，個人是這么認為，主要看那方面

Ⅳ 如何解決跨域問題

關於跨域名問題還是問題么，這方面的解決實踐非常多，今天我就舊話重提把我所知道的通過幾個應用場景來分別總結一下（轉帖請註明出處：http://blog.csdn.net/lenel）

先說明一點：我說的某某域名在您的控制下的意思是這個域名下的網頁由您來負責開發內部的JavaScript
場景一：將bbs.xxx.com的頁面用iframe嵌入到www.xxx.com的中，如何在iframe內外使用js通信（轉帖請註明出處：http://blog.csdn.net/lenel）
一級域名都是xxx.com 這個域名一定是在您的控制下，所以你只要在兩個頁面中同時升級域名即可
在父窗口和iframe內部分別加上js語句：document.domain="xxx.com";
之後2個頁面就等於在同一域名下，通過window.parent oIframe.contentDocument就可以相互訪問，進行無障礙的JS通信
在新浪、淘寶等很多頁面都能找到這樣的語句。不過document.domain不可以隨便指定，只能向上升級，從bbs.xxx.com升級到yyy.com肯定會出錯

場景二：將www.yyy.com的頁面用iframe嵌入到www.xxx.com的中，兩個域名都在您的控制下，如何在iframe內外進行一定的數據交流（轉帖請註明出處：http://blog.csdn.net/lenel）
你可以通過相互改變hash值的方式來進行一些數據的通信

這里的實現基於如下技術要點：
1、父窗口通過改變子窗口的src中的hash值把一部分信息傳入，如果src只有hash部分改變，那麼子窗口是不會重新載入的。
2、
子窗口可以重寫父窗口的location.href，但是注意這里子窗口無法讀取而只能重寫location.href所以要求前提是您控制兩個域名，知
道當前父窗口的location.href是什麼並寫在子窗口內，這樣通過parent.location.href =
"已知的父窗口的href"+"#"+hash。這樣父窗口只有hash改變也不會重載。
3、上面兩步分別做到了兩個窗口之間的無刷新數據通知，
那麼下面的來說如何感知數據變化。標准中沒有相關規定，所以當前的任意瀏覽器遇到location.hash變化都不會觸發任何javaScript事
件，也就是說您要自己寫監聽函數來監視loaction.hash的值的變化。做法是通過setTimeout或者setInterval來寫一個監聽函
數每20-100ms查看一下hash是否變化，如果變化了驅動js根據新的數據做想做的事情。

這種實現的一些分析：
1、信息通道是雙向的，當然會兼容單向，如果只是父窗口向子窗口通知數據，只需要子窗口寫hash監聽，反之亦然。
2、局限性也是頗大，因為這種通信的前提是雙方知道對方的location.href。如果父窗口帶有動態的location.search也就是查詢參數，那麼子窗口的處理上就比較困難，需要把父窗口的location.search作為傳遞信息的一部分告知子窗口。
3、另外的困擾會有瀏覽器帶給你，IE之外的瀏覽器遇到hash的改變會記錄歷史，這樣你在處理前進後退的時候會非常頭疼

場景三：將www.yyy.com的頁面用iframe嵌入到www.xxx.com的中，只有被嵌入的yyy.com在您的控制下，如何在iframe內外進行一定的交流
真實場景：google adsence的一個需求，你希望google發現您的頁面不能匹配出相關性非常好的按點擊付費廣告時，你希望google的廣告iframe能夠隱藏。
google的廣告iframe在google域下顯然不能把自己隱藏掉，那麼怎麼辦呢？
1、google會提供給你一個html頁面
2、您將這個頁面放置在您的域名下，並告訴google它的位置
3、當google發現沒有很好的廣告時，會將子窗口的loaction重定向到您的那個頁面下，這樣您的頁面因為同域名就可以訪問父頁面來隱藏自己了
是不是很巧的方法？

場景四：您是內容發布商，如何改造介面，讓其他域名下的頁面可以從瀏覽器端出發獲得您的數據
我們知道ajax的xmlHttpRequest()說到底是一個無刷新請求伺服器數據的輔助工具，但是xmlHttpRequest並不能跨域名請求數據，在某些情況下成了極大的限制。
但是我們如果通過其他方式完成無刷新請求數據不也可以么，我們用Dom方法操作動態JS腳本請求來做這件事。
//創建一個腳本節點
var oScript = document.createElement('script');
//指定腳本src src可以指向任意域名
//注意src不再指向靜態js，而是帶著查詢參數指向一個動態腳本廣播服務。
oScript.src = "http://yyy.com/query.php?"+yourQueryString;

//如果指定了charset 同時還可以解決xmlHttpRequest另一大困擾 亂碼問題

//oScript.charset = "utf-8";
//通過Dom操作把這個新的節點加入到文檔當中
document.getElementsByTagName("head")[0].appendChild(oScript);

這樣只要query.php的輸出是可執行的javaScript腳本，比如：djsCallBack（{jsondata}）;
當他從伺服器返回後就會自動執行,你可以方便的用json方式來做數據傳遞了。
要注意，您的腳本請求最好帶上時間戳，避免瀏覽器緩存造成取回數據實時性下降。

如果您是數據提供者，您可以要求數據索取者在查詢參數中提供回調函數名，比如query.php?callback=myDataHandler&key=...?
這樣您就可以根據參數來提供給他myDataHandler({jsondata}),這樣不同的數據索取者都會得到自定義的正確的非同步回調。

進一步發展，可以做一個統一的從xml到動態json的數據轉化伺服器，脫離數據的實際意義，針對任何xml介面都可以作為轉化後提供給客戶端直接訪問。
這樣就不用針對單獨xml數據服務，為了跨域名而做各自的後台數據抓取轉化服務。

用動態腳本傳數據功能非常強大，去年我最先在YAHOO的站點上看到這樣的應用，讓人眼前一亮。

總結總結：
第一種場景，相應的處理辦法有這非常好的效果，可以說完全解決了問題。
第二種場景，相應的處理辦法具有一定的跨域數據交流功效，具有相當大的局限，並不適合在復雜業務流程中應用，實際上我也確實也沒看到過基於此的大規模應用。
第三種場景，相應的處理辦法比較巧妙，雖然redirect之後就不幹你什麼事了，但如果你是google一樣面向眾多域名的內容提供商，也是個不錯的解決思路。
第四種場景，相應的處理辦法非常強大，對比Ajax可以看到，跨域名沒問題，無刷新沒問題，本身又是非同步的，JSON比xml快的多，同時解決亂碼問題，只是請求都是Get方式的，不能做Post方式的請求。多一種武器自然可以從容選擇了

Ⅵ HTML5 script 標簽的 crossorigin 屬性到底有什麼用

最近 Bootstrap 4 已經正式發布了，可能已經有愛嘗鮮的小夥伴在 alpha 階段就嘗試過 BS4。不過今天要說的不是 BS4，而是官網里引入 BS4 框架依賴的 jQuery 的代碼：

XHTML
1
2
3
<script src="https://code.jquery.com/jquery-3.2.1.slim.min.js"
integrity="sha384-KJ3o2DKtIkvYIK3UENzmM7KCkRr/rE9/Qpg6aAZGJwFDMVNA/GpGFF93hXpG5KkN"
crossorigin="anonymous"></script>

看起來比以前的寫法復雜好多的樣子。先不著急慢慢看，多了一個 integrity 屬性，看值的樣子就知道是用來驗證文件完整性的。另外還有一個 crossorigin 屬性……怎麼？直接通過 script 標簽載入網站外 JS 資源也要開始考慮跨域的問題了嗎？

這里不討論 script 里 crossorigin 屬性怎麼用，以及伺服器端如何支持此屬性，MDN 上的文檔已經說得很清楚。

不知道大家對此新屬性的感覺如何，我的第一感覺是：新加了這么一個屬性，難道是以前 script 不用 crossorigin 屬性的時候，會出什麼問題嗎？到底可能會出什麼問題呢？

從谷歌的結果來看，比較一致的說法是，引入跨域的腳本（比如用了 apis.google.com 上的庫文件），如果這個腳本有錯誤，因為瀏覽器的限制（根本原因是協議的規定），是拿不到錯誤信息的。當本地嘗試使用 window.onerror 去記錄腳本的錯誤時，跨域腳本的錯誤只會返回 Script error。

script error

但 HTML5 新的規定，是可以允許本地獲取到跨域腳本的錯誤信息，但有兩個條件：一是跨域腳本的伺服器必須通過 Access-Controll-Allow-Origin 頭信息允許當前域名可以獲取錯誤信息，二是當前域名的 script 標簽也必須指明 src 屬性指定的

Ⅶ 如何實現跨域

1.什麼是跨域
經常會在頁面上使用ajax請求訪問其他伺服器的數據,此時,客戶端會出現跨域問題.
跨域問題是由於javascript語言安全限制中的同源策略造成的.
簡單來說,同源策略是指一段腳本只能讀取來自同一來源的窗口和文檔的屬性,這里的同一來源指的是主機名、協議和埠號的組合.