访问控制允许XMLRPC请求中的源问题

Question

我正在使用HTML5 Phonegap的移动应用程序开发中工作。目前我正在使用XMLRPC处理移动应用程序，并且工作正常。（Android和iOS）

我需要在浏览器中使用与网站相同的应用程序。（使用 HTML5）。但是当我尝试在网站上运行我的应用程序时，我收到此错误：

XMLHttpRequest cannot load 'Client' URL'. No 'Access-Control-Allow-Origin' header is present on the requested resource. Origin 'http://localhost <http://localhost/>' is therefore not allowed access. 

当搜索专家说使用JSONP时。但是使用相同的XMLRPC方法我可以工作吗？

比如说；

对于登录目的我使用；

$.xmlrpc({
  url: 'http://clienturl/xmlrpc/common',
  methodName: 'login',
  params: [Database_name','user_name','Password'],
  success: function(response, status, jqXHR) {
    alert('success'); },
  error: OnError
});

它作为一个移动应用程序运行良好。

但当我尝试作为网站运行时，出现< code > Access-Control-Allow-Origin 跨域问题。

我该怎么解决这个问题？

Answer 1

默认情况下，SOP(同源策略)允许跨源请求，但它阻止接收这些请求的响应。错误消息中的< code > Access-Control-Allow-Origin 是一个CORS(跨源资源共享)标头。它告诉浏览器，您允许通过从另一个域(您的XMLRPC客户机的域)发送请求来读取一个域(您的XMLRPC服务器的域)的响应。所以如果你想用AJAX调用它，你必须从你的服务器发送回CORS允许头。

注意：CORS在旧浏览器中不起作用。

可能的解决方案：

>

如果您从 http://localhost 致电 http://clienturl/xmlrpc/common，则

response.header('Access-Control-Allow-Origin', "*")

这是一个不太安全的解决方案:源http://localhost不被Access-Control-Allow-Origin允许，但是您总是可以为您的客户端添加另一个主机名(例如http://client.xml.rpc ),例如通过windows，您可以修改hosts文件并使用IIS服务器添加绑定。

我不推荐这个解决方案，因为它对allow credentials头有安全风险。

另一个更安全的选择是列出允许的主机列表，检查实际请求来自哪个主机，并发回正确的报头:

if (allowedHosts.contains(request.host))
    if (request.host== "http://localhost")
        response.header('Access-Control-Allow-Origin', "null");
    else
        response.header('Access-Control-Allow-Origin', request.host);
else
    response.header('Access-Control-Allow-Origin', server.host);

这是具有多个主机的正确解决方案，因为如果您允许 * 的凭据，则每个人都能够读取和写入已登录用户的会话。

通过http://localhost和file：///IRI，您必须使用null原点。我不确定其他协议，我想在当前的浏览器中，您也必须使用它们的null原点。