跨域解决方案

处理跨域问题的全面解决方案

跨域问题是前端开发中的常见挑战，主要源于浏览器的同源策略（Same-Origin Policy）。以下是处理跨域的多种有效方法：

1. 后端解决方案（推荐）

1.1 CORS (跨域资源共享)

最标准、最安全的跨域解决方案，需要后端配合设置响应头：

http 复制代码

Access-Control-Allow-Origin: *               # 允许所有域名
Access-Control-Allow-Origin: https://example.com # 允许特定域名
Access-Control-Allow-Methods: GET, POST, PUT, DELETE
Access-Control-Allow-Headers: Content-Type, Authorization
Access-Control-Allow-Credentials: true      # 允许携带cookie

Node.js (Express) 示例：

javascript 复制代码

app.use((req, res, next) => {
  res.header('Access-Control-Allow-Origin', 'https://your-frontend.com')
  res.header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE')
  res.header('Access-Control-Allow-Headers', 'Content-Type, Authorization')
  res.header('Access-Control-Allow-Credentials', 'true')
  next()
})

1.2 代理服务器

后端作为中间层转发请求，避开浏览器限制：

javascript 复制代码

// Node.js 代理示例
const axios = require('axios')
const express = require('express')
const app = express()

app.get('/api/proxy', async (req, res) => {
  try {
    const response = await axios.get('https://target-api.com/data', {
      params: req.query
    })
    res.json(response.data)
  } catch (error) {
    res.status(500).json({ error: error.message })
  }
})

2. 前端解决方案

2.1 开发环境代理（Vue/React）

Vue CLI (vite.config.js):

javascript 复制代码

export default defineConfig({
  server: {
    proxy: {
      '/api': {
        target: 'http://backend-server.com',
        changeOrigin: true,
        rewrite: path => path.replace(/^\/api/, '')
      }
    }
  }
})

React (package.json):

json 复制代码

"proxy": "http://localhost:5000"

2.2 JSONP（仅限GET请求）

javascript 复制代码

function jsonp(url, callbackName) {
  return new Promise((resolve) => {
    const script = document.createElement('script')
    script.src = `${url}?callback=${callbackName}`
    window[callbackName] = data => {
      resolve(data)
      document.body.removeChild(script)
      delete window[callbackName]
    }
    document.body.appendChild(script)
  })
}

// 使用
jsonp('http://example.com/api', 'handleData').then(data => {
  console.log(data)
})

3. 服务器配置方案

3.1 Nginx 反向代理

nginx 复制代码

server {
    listen       80;
    server_name  your-domain.com;

    location /api/ {
        proxy_pass   http://backend-server.com/;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        
        # CORS headers
        add_header 'Access-Control-Allow-Origin' '*';
        add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
        add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,Content-Type';
    }
}

3.2 Apache 配置

apache 复制代码

<IfModule mod_headers.c>
    Header set Access-Control-Allow-Origin "*"
    Header set Access-Control-Allow-Methods "GET, POST, OPTIONS"
    Header set Access-Control-Allow-Headers "Origin, X-Requested-With, Content-Type, Accept"
</IfModule>

4. 浏览器临时解决方案（仅开发用）

4.1 禁用浏览器安全策略

Chrome 启动参数：

bash 复制代码

chrome.exe --disable-web-security --user-data-dir="C:/Temp"

4.2 浏览器插件

CORS Unblock (Chrome/Firefox 插件)

5. WebSocket 跨域

javascript 复制代码

const socket = new WebSocket('wss://your-websocket-server.com')

socket.onopen = () => {
  console.log('WebSocket connected')
}

最佳实践建议

生产环境：优先使用 CORS + 精确域名白名单
开发环境：使用前端代理或后端代理
敏感接口 ：应避免使用 Access-Control-Allow-Origin: *
带凭证请求 ：需设置 withCredentials 和 Access-Control-Allow-Credentials

常见错误处理

预检请求(OPTIONS)失败：
- 确保服务器正确处理 OPTIONS 方法
- 设置正确的 Access-Control-Allow-Headers

携带Cookie失败：

javascript 复制代码

// 前端
fetch(url, {
  credentials: 'include'
})

// 后端
Access-Control-Allow-Credentials: true

Vue/React 代理无效：
- 检查代理路径是否匹配
- 重启开发服务器

选择哪种方案取决于您的具体场景和安全要求。对于大多数现代应用，CORS + 适当的安全策略是最推荐的解决方案。