JavaScript(Ajax)和Cookie的同源策略

全部回答

2023-03-28

0 0

    一个URL由四部分组成，拿 www。2cto。com 来说（http的默认端口是80，https的默认端口是443。如果是默认端口，可以省略，所以这个URL等价www。
  2cto。com:80协议：http主机：www。2cto。com端口：80路径：/所谓的同源就是要求这个URL的协议，主机，端口三部分都相同。  一般我们说的域或者domain也是这里的源的概念。
  对于上面的URL，有以下结果：‘存在一种异常情况，javascript可以通过设置document。domain来修改主机和端口部分的值，如果这样做，设置后的值就会作为同源策略检查的标准。比如对于http://blog。
    csdn。net/yanical和http://bbs。csdn。net/可以执行下面的javascript：[javascript] document。domain = "csdn。
  net"这样后，这两个页面就是同一个源了。出于安全的考虑，不能设置为其他主domain，比如http://www。  csdn。net/不能设置为sina。com我们看到，javascript中只有主机的部分被设置了，没有提到端口的部分。
  事实上，在执行上面的javascript的时候，端口也被设置了，且被设置成了null值。所以，对于http://blog。csdn。net:81/yanical和http://blog。  csdn。
  net/yanical如果都执行上面的javascript，那么端口都被设为了null，他们也就变成同源了。同源策略最早被用来阻止一个源的js去获取或者修改另外一个源的文档属性，这里的javascript的源指的是加载javascript的HTML页面的源，而不是javascript自己所在的源。
    举个例子，有两个HTML和两个javascript。test。html包含一个iframe引用了frame。html，且他们在不同的源；test。html还引用了两个js，他们其中一个也和test。
  html的源不同；test。html的javascript还试图去修改frame。  html。test。html:[html] <DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4。
  0 Transitional//EN"><html><head></head><body><iframe id="vFrame" name="vFrame" src="http://127。
    0。0。1/content/frame。html"></iframe></body><script language="javascript" src="http://127。
  0。0。1/content/otherdomain。  js"></script><script language="javascript" src="http://localhost/content/samedomain。
  js"></script><script>document。  write('------write from test。html');alert(document。
  getElementById('vFrame')。contentDocument。body。innerHTML='------overwrite frame from test。
    html'</script></html>frame。html:[html] <DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4。
  0 Transitional//EN"><html><head></head><body><script>document。  write('------write from frame。
  html');</script></body></html>otherdomain。js:[javascript] document。write('------write from otherdomain。
    js');samedomain。js:[javascript] document。write('------write from samedomain。
  js');我们访问http://localhost/test。html,执行结果如下：可以看到，尽管test。  html和otherdomain。js的源不同，但是因为otherdomain。
  js是test。html加载进来的，所以他们还是同一个源。但是test。html和frame。html就不是同一个源，浏览器阻止了修改请求。现在同源策略还被用来判断一个XMLHTTPRequest(AJAX)是否合法，一个页面只能向同一个源的服务器发起AJAX请求。
    需要注意的是，Cookie的同源策略和javascript略有不同，就是Cookie忽略了协议这一项，所以https://blog。csdn。net/yanical和http://blog。
  csdn。net/yanical的Cookie是共享的。

提交

相关回答

剪***

2018-04-04

什么是cookie？cookie有什么作用？

  Cookies是小的数据包，里面包含着关于你网上冲浪习惯的信息，这随后就为因特网上了解cookies的站点所知。Cookie的主要用途是广告代理商用来追踪人口统计，查看某个站点吸引了那种消费者。
  一些网站还用cookies来保存你最近的帐号信息。这样，当你进入某个站点，比如说，而你又在该站点有帐号时，站点就会立刻知道你是谁，自动载入你的个人参数选项。这也就是象Yahoo！这样的站点是如何提供“myYahoo！”这种私人特色服务的。
   　　象Double-Click和NetGravity等公司都使用cookies来编译关于网上冲浪者的信息，回过头来这又被广告客户用来有目标地投递广告。在最为流行的搜索引擎Yahoo!中，你就可以看到一个采用这种策略的实例，当你第一次连接该站点时，它会显示一个表面看来随机的广告条。
  在你输入一个单词——比如说“待售书籍”——进行查找之后，广告条会突然开始吹捧。　　如何阻止cookies? 　　是否有什么办法可以阻止cookies？当然！只要你使用的是Microsoft Internet Explorer版本3。
  0或其更高版本就行　　。IE中给出一个选项，能在你从某个站点接收cookie时显示一个警告信息，并且可让你拒绝此cookie。这只需到查看菜单，选中选项……。在选项对话框中，点击高级标签。
  将列表框向下滚动，把总是接受Cookies选项设为不选中状态。接着再选中接收cookies之前提示。　　对于IE 5。0，则到工具菜单中选中因特网选项……选择安全标签，在自定义级别框上点击。
  将滑块滚动到Cookies，更改各个选项。　　如果你使用的是Netscape，只要在编辑菜单下选中属性，接着在出现的对话框内选中高级，此后按照同样的步骤进行。　　拒收Cookies 　　当IE警告你一个cookie正要被下载时，只需在它询问你是否想将之下载时点击否就可以了。
  或者，你可以选择禁用所有cookie使用，这样浏览器将再不会接收任何cookies了。在Netscape中也是同样如此。　　一旦你打开cookies警告选项，IE对可能cookie的警告将是如此之频繁，甚至会让人觉得吃惊。
  事实上，频繁的警告十分烦人，不过至少当一个站点窥视你的信息时你会知道，而不是让所有活动都在后台发生。除此之外还能干些什么？　　除了打开cookies警告选项之外，你也可以到Electronic Frontier Foundation (EFF)页面上，成为其中一员，登记请求以尽力阻止广告代理使用cookies 。
  但是到目前为止，最好的方法还是打开cookie警告选项，设置好浏览器以防侵入，你会觉得惊奇：究竟有多少因特网网站是在为Madison Avenue当雇佣骗子。　　是否还有其他选择？　　通过在一个硬盘驱动器上查找任何含有单词cookie的文件，就可以将cookie文件从计算机上删除。
   　　你可以将那些文件拖到回收站或垃圾桶中。可是，如果你删除cookie文件，就有可能会丢失一些设置，譬如说你访问站点的密码。在这种情形下，当你访问这些站点时，IE会提醒你重新输入密码。为了防止一些公司将新的cookie文件放到你的硬件中，你可以选择浏览器中的一个选项，该选项可确保每次当外界试图放置cookie时会先询问你的许可。
   　　一个更为简便的方法是安装软件来保护你的cookie文件。Macintosh用户可以从下载Cookie剪切器。而Windows用户则可以从ZDNet软件库下载Cookie压碎器。或者你可以去，使该网站将自身置于你与访问的站点之间，这样就能保证你的隐私权不被侵犯。
  收起

JavaScript(Ajax)和Cookie的同源策略

全部回答

相关回答

什么是cookie？cookie有什么作用？

类似问题换一批

热点推荐

热度TOP

热点搜索换一换

JavaScript(Ajax)和Cookie的同源策略

全部回答

相关回答

什么是cookie？cookie有什么作用？

类似问题换一批

热点推荐

热度TOP

热点搜索 换一换

热点搜索换一换