浏览器如何评估XMLHttpRequest的源域

Question

我认为XMLHttpRequest的源域是加载正在使用它的javascript的域。

例如，它认为如果在页面http://mydomain1.com/上我有:

<script src="http://mydomain2.com/script.js" />

script.js可以通过XHR与mydomain2.com交互。我认为这是json的优点之一。

我在一些测试中看到一点证据，即使JS从mydomain2.com加载，XHR的起源仍然是mydomain1.com。我是不是一直都搞错了?

Answer 1

是执行 JavaScript的页面域(可能在一个框架中)。

如果它来自JavaScript加载的域，那么从CDN加载jQuery后使用jQuery.ajax的所有人会发生什么?

JSONP不允许充当另一个域，而是允许从另一个域注入。脚本元素的源 URI 不受与XHR相同的域起源限制:通过这种方式，JSONP可以用来自由地发送数据(在URI中)并直接在当前页面的上下文中执行返回的JavaScript(而不是JSON)。

包含来自远程站点的脚本标签允许远程站点向网站注入任何内容。如果远程站点存在允许JavaScript注入的漏洞，则原始站点也可能受到影响。

快乐编码。