了解跨越简单请求和非简单请求
# 了解跨越简单请求和非简单请求
CORS是一个W3C的标准，全程是 跨域资源共享（Cross-origin resource sharing）; 它运行浏览器向跨源服务器发出XMLHttpRequest请求，从而克服了AJax只能同源使用的限制；
# CORS
CORS是一个W3C的标准，全程是 跨域资源共享（Cross-origin resource sharing）; 它运行浏览器向跨源服务器发出XMLHttpRequest请求，从而克服了AJax只能同源使用的限制；
CORS需要浏览器和服务器同时支持。目前，所有浏览器都支持该功能，IE浏览器不能低于IE10；
实现CORS通信的关键是服务器。只要服务器实现了CORS接口，就可以跨源通信。
# 简单请求和非简单请求
浏览器将CORS请求分为两类：简单请求和非简单请求。
# 2.1 简单请求
- 只要同时满足以下两大条件，就属于简单请求
1. 请求方法是以下三种方法之一：
- HEAD
- GET
- POST
2. HTTP的头信息不超出以下几种字段
- Accept
- Accept-Language
- Content-Language
- Last-Event-ID
- Content-Type:application/x-www-form-urlencoded/ mutipart/form-data/ text/plain
2
3
4
5
6
7
8
9
10
# 2.1.1 浏览器发送简单请求
- 在头信息加入Origin字段
- Origin字段用来表明，本次请求来自哪个源。服务器根据这个值，决定是否同源这次请求；
# 2.1.2 对应简单请求服务器返回响应
Access-Control-Allow-Origin
如果响应的头信息不包含此字段，就知道出错了，从而抛出一个错误；否则该字段要么是请求时Origin字段的值，要么是一个*，标识接受任何域名的请求；
Access-Control-Allow-Credentials
该字段在响应头可选，如果有的话，表示允许发送cookie，值为true，即表示服务器明确许可，cookie可以包含在请求中，一起发给服务器；如果是false或者没有该字段，表示服务器不允许浏览器发送cookie；
Access-Control-Expose-Headers
该字段可选。CORS请求时，XMLHttpRequest对象的getResponseHeader()方法只能拿到6个基本字段；Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Prama。如果想拿到其他字段，就必须在Access-Control-Expose-Headers里面指定值；
# 2.2 非简单请求
- 不满足简单请求其中任一条条件的就是非简单请求。例如请求方法是PUT或者DELETE。或者Content-Type字段的类型是application/json
# 2.2.1 预检
- 非简单请求的CORS请求，绘制正式通信之前，增加一次HTTP查询请求，成为预检请求preflight；只有得到肯定答复，浏览器才会继续发出XMLHttpRequest请求，否则就报错；
# 2.2.2 浏览器发送预检请求
- Options 预检请求用的请求方法
- Origin 请求来自哪个源，和简单请求的Origin使用相同
- Access-Control-Request-Method
- 该字段是必须的，用来列出来浏览器的CORS请求会使用哪些HTTP方法
- Access-Control-Request-Headers
- 一个逗号分割符的字符串，指定浏览器CORS请求会额外发送的头信息字段
# 2.2.3 服务器返回预检请求的响应
服务器收到预检请求后，检查Origin、Access-Control-Request-Method/Access-Control-Request-Headers后，确认允许跨源请求，就可以做出回应；如果不包含任何关于CORS的相关头信息，表示服务器不同意预检请求；
Access-Control-Allow-Methods
该字段必须，表明服务器支持的所有跨越请求方法；
Access-Control-Allow-Headers
如果浏览器发送的头请求带有Access-Control-Request-Headers,则此字段是必须的。
Access-Control-Allow-Credentials
该字段与简单请求一样表示是否支持发送cookies
Access-Control-Max-Age
用来指定本次预检请求的有效时间
Access-Control-Allow-Origin
与简单请求一样