之前我们可以通过“Access-Control-Allow-Origin”，实现跨域请求，那是不是所有跨域请求都可以通过设置Access-Control-Allow-Origin实现跨域请求呢？显然不是，它也会有一些限制
//server.js

const http = require('http');

const fs = require('fs');

http.createServer(function(req,res){

　　console.log('req come', req.url);

　　const html = fs.readFileSync('test.html', 'utf8');

　　res.writeHead(200,{

　　　　'Content-Type': 'text/html'

　　})

　　res.end(html);

}).listen(8888);

console.log('server listening on 8888');

console.log('http://localhost:8888/')
//server2.js

const http = require('http');

http.createServer(function(req,res){

　　console.log('req come', req.url);

　　res.writeHead(200, {

　　　　'Access-Control-Allow-Origin': '*'

　　})

　　res.end('345');

}).listen(8887);

console.log('server listening on 8887');

console.log('http://localhost:8887/')
<!--test.html-->

<body>

<script>

fetch('http://localhost:8887/',{

　　method:'post',

　　headers:{

　　　　'X-Test-Cors':'123'

　　}

})

</script>

</body>

启动服务，运行server.js，请求8887，发现报错了，而且报错信息跟之前也会有点不一样，提示‘X-Test-Cors’,这个头信息在跨域里面是不被允许的，这就是今天要讲的cors跨域限制

一、跨域请求里面允许的方法
get

head

post
其它都是不允许的，比如put,delete等，浏览器预请求里面是做了验证的，
二、允许的Content-Type
text/plain

multipart/form-data

application/x-www-form-urlencoded
其它的content-type也需要经过预请求验证过才能发送
三、其他限制
请求头限制：比如刚才的自定义请求头，其他允许的请求头(https://fetch.spec.whatwg.org/#cors-safelisted-request-header)

XMLHttpRequestUpload对象均没有注册任何事件监听器

请求中没有使用ReadableStream对象
四、什么是预请求
刚才的请求是有返回值的，但是报错了，忽略了这个值，要不忽略这个值，需要在返回值里面允许这个自定义的头信息
// server2.js

const http = require('http');

http.createServer(function(req,res){

　　console.log('req come', req.url);

　　res.writeHead(200, {

　　　　'Access-Control-Allow-Origin': '*',

　　　　'Access-Control-Allow-Headers': 'X-Test-Cors',

　　　　//'Access-Control-Allow-Methods': 'post,put,delete',

　　　　//'Access-Control-Max-Age': "1000", //1000秒内不用再次发送预请求来验证，直接发起正式的请求就可以

　　})

　　res.end('345');

}).listen(8887);

console.log('server listening on 8887');

console.log('http://localhost:8887/')

这样设置，这个请求就成功了，但是可以观测到多了一个请求，这个多出来的请求就是预请求，告诉浏览器，这个自定义请求是允许的，然后再正式的发送这个请求，通过验证之后就请求成功了，浏览器为什么要做这些限制，是因为保证安全，不允许随便一个人都可以进行跨域

CORS跨域限制以及预请求验证的更多相关文章

  1. CORS 跨域中的 preflight 请求

    我们知道借助Access-Control-Allow-Origin响应头字段可以允许跨域 AJAX, 对于非简单请求,CORS 机制跨域会首先进行 preflight(一个 OPTIONS 请求), ...

  2. ajax跨域通过 Cors跨域资源共享 进行GetPost请求

    using System; using System.Collections.Generic; using System.Linq; using System.Net; using System.Ne ...

  3. JSONP跨域和CORS跨域

    什么是跨域? 跨域:指的是浏览器不能执行其它网站的脚本,它是由浏览器的同源策略造成的,是浏览器的安全限制! 同源策略 同源策略:域名.协议.端口均相同. 浏览器执行JavaScript脚本时,会检查这 ...

  4. SpringBoot配置Cors跨域请求

    一.同源策略简介 同源策略[same origin policy]是浏览器的一个安全功能,不同源的客户端脚本在没有明确授权的情况下,不能读写对方资源. 同源策略是浏览器安全的基石. 什么是源 源[or ...

  5. CORS跨域请求规则以及在Spring中的实现

    CORS: 通常情况下浏览器禁止AJAX从外部获取资源,因此就衍生了CORS这一标准体系,来实现跨域请求. CORS是一个W3C标准,全称是"跨域资源共享"(Cross-origi ...

  6. CORS——跨域请求那些事儿

    在日常的项目开发时会不可避免的需要进行跨域操作,而在实际进行跨域请求时,经常会遇到类似 No 'Access-Control-Allow-Origin' header is present on th ...

  7. CORS跨域请求

    一.问题: 服务器端代码 from flask import Flask from flask import make_response from flask import jsonify app = ...

  8. 4 伪ajax：jsonp、cors 跨域请求

    一.同源策略 https://www.cnblogs.com/yuanchenqi/articles/7638956.html 同源策略(Same origin policy)是一种约定,它是浏览器最 ...

  9. [转] 重定向 CORS 跨域请求

    非简单请求不可重定向,包括第一个preflight请求和第二个真正的请求都不行. 简单请求可以重定向任意多次,但如需兼容多数浏览器,只可进行一次重定向. 中间服务器应当同样配置相关 CORS 响应头. ...

随机推荐

  1. my05_mysql检查点简述

    简单描述一下mysql 检查点,对mysql数据库恢复的理解有所帮助. 数据库版本 mysql> select version(); +-----------+ | version() | +- ...

  2. Linux下Tomcat启动关闭命令

    1.首先,进入Tomcat下的bin目录 cd /usr/local/tomcat/bin 2.查看Tomcat是否以关闭 ps -ef|grep tomcat 如果显示以下信息,说明Tomcat还没 ...

  3. 树形dp学习

    学习博客:https://www.cnblogs.com/qq936584671/p/10274268.html 树的性质:n个点,n-1条边,任意两个点之间只存在一条路径,可以人为设置根节点,对于任 ...

  4. 牛客网Java刷题知识点之代码块（局部代码快、构造代码块、静态代码块）

    不多说,直接上干货! 代码块包括局部代码快.构造代码块.静态代码块. 代码块,就是一段独立的代码空间. 1.局部代码快 对局部变量的生命周期进行控制. 2.构造代码块 对所有对象进行初始化. 3.静态 ...

  5. 学习用node.js建立一个简单的web服务器

    一.建立简单的Web服务器涉及到Node.js的一些基本知识点: 1.请求模块 在Node.js中,系统提供了许多有用的模块(当然你也可以用JavaScript编写自己的模块,以后的章节我们将详细讲解 ...

  6. linux下文件比对功能

    很想对吧两个文本有什么不同,可linux下有没有那么方便的工具,怎么办?其实也很简单:diff命令,一行搞定. 新建a.txt文件

  7. 浅入分析Linux

    Linux 操作系统必须完成的两个主要目的 与硬件部分交互, 为包含在硬件平台上的所有底层可编程部件提供服务 为运行在计算机系统上的应用程序(即所谓的用户空间)提供执行环境 一些操作系统运行所有的用户 ...

  8. MySQL锁行锁表

    select..for update; 给数据库表手动上锁 --锁行Begin; for update; --给 id=1 的行加上排它锁且 id 有索引 ; Commit; -- 锁表 BEGIN; ...

  9. SSIS 错误代码 DTS_E_CANNOTACQUIRECONNECTIONFROMCONNECTIONMANAGER

    [OLE DB 源 [2]] 错误: SSIS 错误代码 DTS_E_CANNOTACQUIRECONNECTIONFROMCONNECTIONMANAGER.对连接管理器“test.trade_sh ...

  10. 单元测试模拟request后台

    编写测试单元 @RunWith(SpringJUnit4ClassRunner.class) 让测试运行于Spring测试环境 @WebAppConfiguration是一个类级别的注释,用于声明Ap ...