本文分享自华为云社区《

经常读到浏览器跨域问题文章，一般都是说什么同源策略引起了，也不说清楚怎么回事，搞的不熟悉前端或者专业知识不那么强的同学看的懵逼。

简单一句话就是：aaa.com请求bbb.com,同时aaa.com确实从浏览器将请求发出去了，并且bbb.com也收到了这个请求，同时bbb.com也返回了请求。但是，由于浏览器的同源策略，浏览器会阻止响应数据的返回，也就是说，虽然请求已经发送并得到了响应，但浏览器可能不会把响应数据交给发起请求的前端页面。这就是跨域请求被“阻止”的真正含义。

那么我们今天就来了解一下cors跨域和jsonp劫持漏洞

同源策略

为什么还要讲一遍同源策略，我们之前写xss的时候有讲到过，不了解的同学可以看看我们的那篇xss文章，那么该策略是浏览器的一个安全基石，如果没有同源策略，那么，你打开了一个合法的网站，又打开了一个恶意网站，恶意网站的脚本能够随意的操作合法网站的任意可操作资源，没有任何限制。

同源策略

在浏览器中，保证访问数据安全的基础就是同源策略

目前主流使用的 HTTP 协议的请求方法是比较固定的，并没有随着大版本的提升有过多改变。

按照 常用、非常用以及扩展 可以分成上图中的 3 类。要彻底掌握这些 request methods，我们需要从几方面问题来考虑：

前后端程序员有时候在联调时会有一个疑问，为什么前端自己的代码里面明明没有写过 OPTIONS 类型的请求，但是在网页上调试会多出来这么一个 OPTIONS 请求？

这是因为浏览器在进行跨域请求时，为了确保安全性会多出一个 OPTIONS 请求。这个请求被称为"

跨域问题是由于浏览器的一种安全策略而出现的，即同源策略（Same origin policy）。同源策略由 Netscape 提出，是浏览器最核心也是最基本的安全功能。所谓“

JavaScript

跨域的方式有哪些，为什么需要跨域，同源策略拦截客户端请求还是服务器响应

同源策略是所有浏览器都必须遵循的一项安全原则，它的存在决定了浏览器在默认情况下无法对跨域请求的资源做进一步处理。为了实现跨域资源的共享，W3C制定了CORS规范。ASP.NET利用CorsMiddleware中间件提供了针对CORS规范的实现。（本文提供的示例演示已经同步到《ASP.NET Core 6框架揭秘-实例演示版》）