CORS允許的JavaScript

Question

的遠程嵌入我有一個可以從遠程服務器被嵌入的JavaScript控件（如http://aaa.bbb.ccc）

我的JavaScript（一個簡單的警報（「你好」））是由一個PHP腳本創建，並在執行時我送頭

<?php 
header("Access-Control-Allow-Origin: http://aaa.bbb.ddd"); 
echo "alert('hello')"; 

我期望我的JavaScript不能遠程主機上執行，但該警報顯示。

怎麼了？

Answer 1

加載來自不同來源的腳本沒有限制。

同源策略阻止JavaScript從不同的來源讀取。

CORS是弛豫的一種方式允許JS從不同來源讀取數據的同源策略。

CORS無法在默認情況下應用相同原點策略時添加其他限制。

---

考慮編寫的JS檢查的location價值，並拋出一個異常，如果它是不可接受的。