如何绕过Access-Control-Allow-Origin？

Question

我正在一个平台上对我自己的服务器进行ajax调用，他们设置了阻止这些ajax调用的平台（但我需要它从我的服务器获取数据以显示从我的服务器数据库检索到的数据）。 我的 ajax 脚本正在运行，它可以将数据发送到我的服务器的 php 脚本以允许其处理。 但是，它无法取回已处理的数据，因为它被“Access-Control-Allow-Origin”阻止，

我无法访问该平台的源代码/核心。所以我无法删除它不允许我这样做的脚本。 （P/SI使用Google Chrome的控制台发现了这个错误）

Ajax代码如下所示：

 $.ajax({
     type: "GET",
     url: "http://example.com/retrieve.php",
     data: "id=" + id + "&url=" + url,
     dataType: 'json',   
     cache: false,
     success: function(data)
      {
        var friend = data[1];              
        var blog = data[2];           
        $('#user').html("<b>Friends: </b>"+friend+"<b><br> Blogs: </b>"+blog);

      } 
  });

或者是否有与上面的ajax脚本等效的JSON代码？我认为 JSON 是允许的。

我希望有人能帮助我。

Answer 1

将其放在retrieve.php 之上：

header('Access-Control-Allow-Origin: *');

请注意，这实际上会禁用 CORS 保护，并使您的用户面临攻击。如果您不完全确定需要允许所有来源，则应将其锁定到更具体的来源：

header('Access-Control-Allow-Origin: https://www.example.com');

请参阅以下堆栈答案以更好地理解Access-Control-此外，

您可以在此处阅读有关 CORS 的更多信息：https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Access-Control-Allow-Origin

https://stackoverflow.com/a/10636765/413670

Answer 2

警告，如果您遵循其他一些答案，Chrome（和其他浏览器）将抱怨设置了多个 ACAO 标头。

错误将类似于 XMLHttpRequest 无法加载 ____。 “Access-Control-Allow-Origin”标头包含多个值“____、____、____”，但只允许使用一个。因此，不允许访问来源“____”。

试试这个：

$http_origin = $_SERVER['HTTP_ORIGIN'];

$allowed_domains = array(
  'http://domain1.com',
  'http://domain2.com',
);

if (in_array($http_origin, $allowed_domains))
{  
    header("Access-Control-Allow-Origin: $http_origin");
}

Answer 3

我在调用 MVC3 控制器时解决了这个问题。
我补充道：

Response.AddHeader("Access-Control-Allow-Origin", "*"); 

在我的之前

return Json(model, JsonRequestBehavior.AllowGet);

，我的 $.ajax 也抱怨它在我的 ajax 调用中不接受 Content-type 标头，所以我将其注释掉，因为我知道它JSON 正在传递给操作。

希望有帮助。

Answer 4

使用 * 是一个非常糟糕的主意，它会让您对跨站点脚本敞开大门。您基本上始终需要自己的域，范围仅限于当前的 SSL 设置，以及可选的其他域。您还希望它们全部作为一个标头发送。以下内容将始终在与当前页面相同的 SSL 范围内授权您自己的域，并且还可以选择包含任意数量的其他域。它将把它们全部作为一个标头发送，如果已经发送了其他内容，则覆盖前一个标头，以避免浏览器抱怨发送的多个访问控制标头。

class CorsAccessControl
{
    private $allowed = array();

    /**
     * Always adds your own domain with the current ssl settings.
     */
    public function __construct()
    {
        // Add your own domain, with respect to the current SSL settings.
        $this->allowed[] = 'http'
            . ( ( array_key_exists( 'HTTPS', $_SERVER )
                && $_SERVER['HTTPS'] 
                && strtolower( $_SERVER['HTTPS'] ) !== 'off' ) 
                    ? 's' 
                    : null )
            . '://' . $_SERVER['HTTP_HOST'];
    }

    /**
     * Optionally add additional domains. Each is only added one time.
     */
    public function add($domain)
    {
        if ( !in_array( $domain, $this->allowed )
        {
            $this->allowed[] = $domain;
        }
    /**
     * Send 'em all as one header so no browsers grumble about it.
     */
    public function send()
    {
        $domains = implode( ', ', $this->allowed );
        header( 'Access-Control-Allow-Origin: ' . $domains, true ); // We want to send them all as one shot, so replace should be true here.
    }
}

用法：

$cors = new CorsAccessControl();

// If you are only authorizing your own domain:
$cors->send();

// If you are authorizing multiple domains:
foreach ($domains as $domain)
{
    $cors->add($domain);
}
$cors->send();

你明白了。

Answer 5

您是否尝试过将 Access-Control-Allow-Origin 标头实际添加到从服务器发送的响应中？比如，Access-Control-Allow-Origin: *？