L'origine n'est pas autorisée par Access-Control-Allow-Origin

J'ai écrit un article sur cette question pendant un certain temps, Croix de Domaine AJAX.

La façon la plus simple de gérer cela si vous avez le contrôle de la réponse du serveur est d'ajouter un en-tête de réponse pour:

Access-Control-Allow-Origin: *

Cela permettra à la croix-domaine Ajax. En PHP, vous aurez envie de modifier la réponse de la sorte:

<?php header('Access-Control-Allow-Origin: *'); ?>

Vous pouvez simplement mettre les Header set Access-Control-Allow-Origin * paramètre dans le Apache de configuration ou fichier htaccess.

Il convient de noter que cela permet de désactiver la protection de la SCRO, qui très probable expose à vos utilisateurs d'attaque. Si vous ne savez pas que vous avez spécifiquement besoin d'utiliser un caractère générique, vous ne devriez pas l'utiliser, et au lieu de cela, vous devriez liste blanche de votre domaine spécifique:

<?php header('Access-Control-Allow-Origin: http://example.com') ?>

Si vous utilisez Apache juste ajouter:

<ifModule mod_headers.c>
    Header set Access-Control-Allow-Origin: *
</ifModule>

dans votre configuration. Ce sera la cause de toutes les réponses de votre serveur pour être accessible à partir de tout autre site sur l'internet. Si vous avez l'intention d'autoriser uniquement les services de votre hôte pour être utilisé par un serveur spécifique, vous pouvez remplacer la * avec l'URL du serveur d'origine:

Header set Access-Control-Allow-Origin: http://my.origin.host

C'était la première question/réponse qui est apparu pour moi, en essayant de résoudre le même problème en utilisant ASP.NET MVC comme la source de mes données. Je me rends compte que cela ne suffit pas à résoudre le PHP question, mais il est lié assez pour être utile.

Je suis en utilisant ASP.NET MVC. Le blog de Greg Brant a fonctionné pour moi. En fin de compte, vous créez un attribut, [HttpHeaderAttribute("Access-Control-Allow-Origin", "*")], que vous êtes en mesure d'ajouter aux actions de contrôleur.

Par exemple:

public class HttpHeaderAttribute : ActionFilterAttribute
{
    public string Name { get; set; }
    public string Value { get; set; }
    public HttpHeaderAttribute(string name, string value)
    {
        Name = name;
        Value = value;
    }

    public override void OnResultExecuted(ResultExecutedContext filterContext)
    {
        filterContext.HttpContext.Response.AppendHeader(Name, Value);
        base.OnResultExecuted(filterContext);
    }
}

Et ensuite de l'utiliser avec:

[HttpHeaderAttribute("Access-Control-Allow-Origin", "*")]
public ActionResult MyVeryAvailableAction(string id)
{
    return Json( "Some public result" );
}

Cela peut être pratique pour ceux qui ont besoin d'une exception pour les " www " et " non-www versions d'un référent:

 $referrer = $_SERVER['HTTP_REFERER'];
 $parts = parse_url($referrer);
 $domain = $parts['host'];

 if($domain == 'google.com')
 {
         header('Access-Control-Allow-Origin: http://google.com');
 }
 else if($domain == 'www.google.com')
 {
         header('Access-Control-Allow-Origin: http://www.google.com');
 }

Que j'ai pu croiser à quelques reprises lorsque l'on travaille avec différentes Api. Souvent une solution rapide consiste à ajouter "&callback=?" à la fin d'une chaîne. Parfois, le commercial doit être un code de caractère, et parfois un "?": "?rappel=?" (voir Les prévisions.io Utilisation de l'API avec jQuery)

si vous êtes sous apache, il suffit d'ajouter le .fichier htaccess dans votre répertoire avec ce contenu:

Header set Access-Control-Allow-Origin: *

Header set Access-Control-Allow-Headers: content-type

Header set Access-Control-Allow-Methods: *

Dans Ruby on Rails, vous pouvez le faire dans un contrôleur:

headers['Access-Control-Allow-Origin'] = '*'

Si vous obtenez ce dans Angular.js, alors assurez-vous de vous échapper de votre numéro de port comme ceci:

var Project = $resource(
    'http://localhost\\:5648/api/...', {'a':'b'}, {
        update: { method: 'PUT' }
    }
);

Voir ici pour plus d'info sur elle.

En Ruby Sinatra

response['Access-Control-Allow-Origin'] = '*' 

pour tout le monde ou

response['Access-Control-Allow-Origin'] = 'http://yourdomain.name'