Le concept de partage de ressources d'origines croisées (CORS)

Remarque importante à l'avant: Si le serveur à l'autre extrémité n'a pas l'activer, il n'y a rien que vous pouvez faire dans votre côté client code qui permettra à un cross-origin requête ajax.

Permettez-moi de vous donner un arrière-plan avant de répondre à votre question:

De Même Origine Politique De Sécurité

Tout simplement, de même origine politique de sécurité permet de s'assurer que les scripts à partir d'une origine peut ne pas récupérer le contenu d'autres origines. Maintenant, pour vous expliquer le concept de l'origine, permettez-moi de citer une partie de la Article wikipédia de Même Origine Politique de Sécurité:

Le tableau suivant donne un aperçu des résultats typiques pour les contrôles par rapport à l'URL "http://www.example.com/dir/page.html".

Compared URL                                             Outcome  Reason
-------------------------------------------------------  -------  ----------------------
http://www.example.com/dir/page2.html                    Success  Same protocol and host
http://www.example.com/dir2/other.html                   Success  Same protocol and host
http://username:[email protected]/dir2/other.html Success  Same protocol and host
http://www.example.com:81/dir/other.html                 Failure  Same protocol and host but different port
https://www.example.com/dir/other.html                   Failure  Different protocol
http://en.example.com/dir/other.html                     Failure  Different host
http://example.com/dir/other.html                        Failure  Different host (exact match required)
http://v2.www.example.com/dir/other.html                 Failure  Different host (exact match required)
http://www.example.com:80/dir/other.html                 Depends  Port explicit. Depends on implementation in browser.

Contrairement à d'autres navigateurs, Internet Explorer ne comprend pas du port, dans le calcul de l'origine, à l'aide de la Zone de Sécurité à sa place.

Ainsi, par exemple, votre JavaScript est impossible de télécharger quoi que ce soit à partir de (aka, faire une requête HTTP à un serveur web autre que le serveur d'où elle provient. C'est exactement pourquoi vous ne pouvez pas faire XmlHttpRequests (aka AJAX) à d'autres domaines.

---

De la SCRO est une façon le serveur à l'autre bout (pas le code client dans le navigateur) peut détendez-vous le même-la politique de l'origine.

Une Description Simpliste sur Origine de la croix de Partage de Ressources (SCRO).

De la SCRO ouvrages de référence par l'ajout de nouveaux en-têtes HTTP qui permet aux serveurs de se servir des ressources autorisées des domaines d'origine. Les navigateurs prennent en charge ces en-têtes et de respecter les restrictions qu'ils établissent.

Exemple: Dire que votre site est http://my-cool-site.com et, vous disposez d'un tiers de l'API au domaine http://third-party-site.comauquel vous pouvez accéder via AJAX.

Et supposons qu'une page à partir de votre serveur my-cool-site.com a fait une demande de third-party-site.com. Normalement, les utilisateurs du navigateur baisse des appels AJAX vers un autre site autre que votre propre nom de domaine/sous-domaine par le De Même Origine Politique De Sécurité. Mais si le navigateur et le serveur d'un tiers prend en charge la SCRO, les choses suivantes se produisent:

• Navigateur va envoyer et Origin en-tête HTTP pour third-party-site.com

  Origin: http://my-cool-site.com

• Si le serveur d'un tiers accepte les demandes à partir de votre domaine, il répondra avec une Access-Control-Allow-Origin en-tête HTTP:

  Access-Control-Allow-Origin: http://my-cool-site.com

• Pour permettre à tous les domaines, troisième partie serveur peut envoyer cet en-tête:

  Access-Control-Allow-Origin: *

• Si votre site n'est pas autorisé, le navigateur renvoie une erreur.

Si les clients ont assez moderne les navigateurs qui prennent en charge la SCROet votre serveur tiers prend en charge la SCRO ainsi, la SCRO peut être utile pour vous.

Dans certains navigateurs obsolètes (IE8, par exemple), vous devez utiliser Microsoft XDomainRequest objet au lieu de XMLHttpRequest de faire un appel fonctionne correctement avec la SCRO; ce dépassée aujourd'hui, tous les navigateurs modernes (y compris à partir de Microsoft) de la poignée de la SCRO en XMLHttpRequest à la place. Mais si vous avez besoin de support des navigateurs obsolètes, cette page le décrit:

À faire de la SCRO demande, vous utilisez simplement XMLHttpRequest dans Firefox 3.5+, Safari 4+ et google Chrome et XDomainRequest objet dans IE8+. Lors de l'utilisation de XMLHttpRequest de l'objet, si le navigateur voit que vous essayez de faire un cross-domain demande, de façon transparente déclenchement de la SCRO comportement.

Voici une fonction javascript qui permet de créer un navigateur croix de la SCRO objet.

function createCORSRequest(method, url){
    var xhr = new XMLHttpRequest();
    if ("withCredentials" in xhr){
        //XHR has 'withCredentials' property only if it supports CORS
        xhr.open(method, url, true);
    } else if (typeof XDomainRequest != "undefined"){ //if IE use XDR
        xhr = new XDomainRequest();
        xhr.open(method, url);
    } else {
        xhr = null;
    }
    return xhr;
}

Encore une fois, c'est seulement nécessaire pour les navigateurs obsolètes.

---

Les raisons ci-dessus sont les raisons pour lesquelles vous ne pouvez pas utiliser les services Amazon web services à partir de votre script. Et Amazon serveur ne permet pas de télécharger leurs fichiers JavaScript pour les pages servi de certains domaines.

Pour répondre à vos numérotés questions:

1. • Le fichier va être téléchargé par le navigateur si elle est de la même origine.
   • Si elle n'est pas la même origine, le fichier va être téléchargé si un SCRO demande réussit.
   • Ou autrement, de télécharger le script échoue.
   • Si le téléchargement réussi, le contenu du fichier JavaScript va être chargée en mémoire du navigateur, interprété et exécuté.

2. Voir description de la SCRO à comprendre.