comment contourner Access-Control-Allow-Origin?

Le mettre sur le dessus de retrieve.php:

header('Access-Control-Allow-Origin: *');  

Noter que cela permet de désactiver la protection de la SCRO, et les feuilles de vos utilisateurs exposés à l'attaque. Si vous n'êtes pas absolument certain que vous avez besoin pour permettre à tous origines, vous devez le verrouiller cette baisse à un plus spécifiques origine:

header('Access-Control-Allow-Origin: https://www.example.com')

Avertissement, Chrome (et les autres navigateurs) va se plaindre que de multiples ACAO les en-têtes sont ensemble si vous suivez quelques-uns des autres réponses.

L'erreur sera quelque chose comme XMLHttpRequest cannot load ____. The 'Access-Control-Allow-Origin' header contains multiple values '____, ____, ____', but only one is allowed. Origin '____' is therefore not allowed access.

Essayez ceci:

$http_origin = $_SERVER['HTTP_ORIGIN'];

$allowed_domains = array(
  'http://domain1.com',
  'http://domain2.com',
);

if (in_array($http_origin, $allowed_domains))
{  
    header("Access-Control-Allow-Origin: $http_origin");
}

le mieux serait de permettre à des domaines uniques, soyez prudent sur le site http://:

     header('Access-Control-Allow-Origin: http://www.foo.com', false);
     header('Access-Control-Allow-Origin: http://www.foo2.com', false));

C'est une très mauvaise idée d'utiliser *, ce qui vous laisse largement ouvert cross site scripting. En gros, vous voulez que votre propre nom de domaine, tout le temps, l'étendue actuelle de votre les paramètres SSL, et éventuellement d'autres domaines. Vous aussi, vous voulez tous être envoyé comme un en-tête. La suite sera toujours autoriser votre propre nom de domaine dans le même SSL portée de la page en cours, et peut éventuellement aussi inclure n'importe quel nombre de domaines supplémentaires. Il va les envoyer tous un en-tête, et écraser le précédent(s) si quelque chose d'autre est déjà envoyés afin d'éviter toute chance de le navigateur se plaindre de plusieurs de contrôle d'accès des en-têtes envoyés.

class CorsAccessControl
{
    private $allowed = array();

    /**
     * Always adds your own domain with the current ssl settings.
     */
    public function __construct()
    {
        //Add your own domain, with respect to the current SSL settings.
        $this->allowed[] = 'http'
            . ( ( array_key_exists( 'HTTPS', $_SERVER )
                && $_SERVER['HTTPS'] 
                && strtolower( $_SERVER['HTTPS'] ) !== 'off' ) 
                    ? 's' 
                    : null )
            . '://' . $_SERVER['HTTP_HOST'];
    }

    /**
     * Optionally add additional domains. Each is only added one time.
     */
    public function add($domain)
    {
        if ( !in_array( $domain, $this->allowed )
        {
            $this->allowed[] = $domain;
        }
    /**
     * Send 'em all as one header so no browsers grumble about it.
     */
    public function send()
    {
        $domains = implode( ', ', $this->allowed );
        header( 'Access-Control-Allow-Origin: ' . $domains, true ); //We want to send them all as one shot, so replace should be true here.
    }
}

Utilisation:

$cors = new CorsAccessControl();

//If you are only authorizing your own domain:
$cors->send();

//If you are authorizing multiple domains:
foreach ($domains as $domain)
{
    $cors->add($domain);
}
$cors->send();

Vous obtenez l'idée.