Sposoby obchodzenia Polityki tego samego pochodzenia

Metoda document.domain

• Typ metody: iframe .

Zauważ, że jest to metoda iframe, która ustawia wartość dokumentu.domeny do przyrostka bieżącej domeny. Jeśli tak się stanie, krótsza domena jest używana do kolejnych kontroli pochodzenia. Na przykład, załóżmy, że skrypt w dokumencie w http://store.company.com/dir/other.html wykonuje następującą instrukcję:

document.domain = "company.com";

Po wykonaniu tego polecenia, strona przejdzie sprawdzenie pochodzenia za pomocą http://company.com/dir/page.html. Jednak przez to samo rozumowanie, company.com nie można ustawić document.domain na othercompany.com.

Dzięki tej metodzie możesz wykonywać javascript z ramki iframe pochodzącej z subdomeny na stronie pochodzącej z domeny głównej. Ta metoda nie jest odpowiednia dla zasobów między domenami, ponieważ przeglądarki takie jak Firefox nie pozwolą Ci zmienić document.domain na całkowicie obcą domenę.

Źródło: https://developer.mozilla.org/en/Same_origin_policy_for_JavaScript

Dzielenie Zasobów Między Źródłami metoda

• Typ metody: AJAX .

Cross-Origin Resource Sharing (CORS) jest roboczym szkicem W3C, który określa, jak przeglądarka i serwer muszą się komunikować podczas uzyskiwania dostępu do źródeł w różnych źródłach. Podstawową ideą CORS jest użycie niestandardowych nagłówków HTTP, aby zarówno przeglądarka, jak i serwer wiedzieli wystarczająco dużo o sobie nawzajem, aby określić, czy żądanie lub odpowiedź powinna odnieść sukces lub zawieść.

Dla prostego żądania, które wykorzystuje albo GET lub POST BEZ niestandardowych nagłówków i którego ciałem jest text/plain, żądanie jest wysyłane z dodatkowym nagłówkiem o nazwie Origin. Nagłówek Origin Zawiera źródło pochodzenia (protokół, nazwę domeny i port) strony żądającej, dzięki czemu serwer może łatwo określić, czy ma służyć odpowiedzi. PrzykładOrigin nagłówek może wyglądać tak:

Origin: http://www.stackoverflow.com

Jeśli serwer zdecyduje, że żądanie powinno być dozwolone, wysyła Access-Control-Allow-Origin nagłówek przypominający to samo pochodzenie, które zostało wysłane lub Jeśli to źródło publiczne. Na przykład:

Access-Control-Allow-Origin: http://www.stackoverflow.com

Jeśli brakuje tego nagłówka lub źródła nie pasują, przeglądarka wyłącza żądanie. Jeśli wszystko jest dobrze, przeglądarka przetwarza żądanie. Należy pamiętać, że żądania ani odpowiedzi nie zawierają informacji o plikach cookie.

function createCORSRequest(method, url){
    var xhr = new XMLHttpRequest();
    if ("withCredentials" in xhr){
        xhr.open(method, url, true);
    } else if (typeof XDomainRequest != "undefined"){
        xhr = new XDomainRequest();
        xhr.open(method, url);
    } else {
        xhr = null;
    }
    return xhr;
}

var request = createCORSRequest("get", "http://www.stackoverflow.com/");
if (request){
    request.onload = function() {
        // ...
    };
    request.onreadystatechange = handler;
    request.send();
}

Zauważ, że aby metoda CORS działała, musisz mieć dostęp do dowolnego typu mechaniki nagłówka serwera i nie możesz po prostu uzyskać dostępu do zasobów innych firm.

Źródło: http://www.nczonline.net/blog/2010/05/25/cross-domain-ajax-with-cross-origin-resource-sharing/

Metoda window.postMessage

• Typ metody: iframe .

window.postMessage, po wywołaniu, powoduje wysłanie MessageEvent do okna docelowego, gdy wszystkie oczekujące skrypty, które muszą zostać wykonane (np. pozostałe procedury obsługi zdarzeń, jeśli window.postMessage jest wywołane z procedury obsługi zdarzeń, wcześniej ustawione oczekujące timeouty, itd.). MessageEvent mA typ message, właściwość data, która jest ustawiona na wartość łańcuchową pierwszego argumentu dostarczonego do window.postMessage, właściwość origin odpowiadającą początkowi głównego dokumentu w wywołaniu okna window.postMessage w momencie wywołania window.postMessage, oraz właściwość source właściwość, która jest oknem, z którego wywołane jest window.postMessage.

Aby użyć window.postMessage, należy dołączyć detektor zdarzeń:

    // Internet Explorer
    window.attachEvent('onmessage',receiveMessage);

    // Opera/Mozilla/Webkit
    window.addEventListener("message", receiveMessage, false);

I receiveMessage należy zadeklarować funkcję:

function receiveMessage(event)
{
    // do something with event.data;
}

Off-site iframe musi również poprawnie wysyłać zdarzenia poprzez postMessage:

<script>window.parent.postMessage('foo','*')</script>

Każde okno może uzyskać dostęp do tej metody w dowolnym innym oknie, w dowolnym momencie, niezależnie od lokalizacji dokumentu w oknie, aby wysłać mu wiadomość. W związku z tym każdy odbiorca zdarzeń używany do odbierania wiadomości musi najpierw sprawdź tożsamość nadawcy wiadomości, używając właściwości origin i ewentualnie source. Nie można tego zaniżyć: brak sprawdzenia właściwości origin i ewentualnie source umożliwia ataki Skryptowe.

Źródło: https://developer.mozilla.org/en/DOM/window.postMessage