JSONP请求跨域工作，但无法确定来源

Question

我正在尝试JSONP呼叫。 我在服务器1中的domain1.com域下有一个NodeJs应用，如下所示：

server.get('/api/testjsonp', function(req, res) {

  var clientId = req.param('clientId');

  res.header('Content-Type', 'application/json');
  res.header('Charset', 'utf-8') 
  res.send(req.query.callback + '({"something": "rather", "more": "fun",
          "sourceDomain": "' + req.headers.origin + '"' + ',"clientId":"' + clientId + 
          '"});');  

});

在另一台服务器（服务器2）和其他域（domain2.com）下，我创建了一个测试html页面，其调用如下：

    var data = { clientId : 1234567890 };

            $.ajax({
                    dataType: 'jsonp',
                    data: data,
                    jsonp: 'callback',
                    url: 'https://domain1.com/api/testjsonp?callback=1',                        
                    success: function(data) {
                        alert('success');
                    },
        error: function(err){
                        alert('ERROR');
                        console.log(err);
                    }
                });

我在这里有2个问题：

1）这为什么起作用？ 这不是跨域调用，因此我需要实现ALLOW-ORIGIN标头？ 我正在关注以下示例：

http://css.dzone.com/articles/ajax-requests-other-domains

http://benbuckman.net/tech/12/04/cracking-cross-domainallow-origin-nut

2）在服务器中，我无法弄清楚哪个域正在发出呼叫，req.headers.origin始终未定义。 我想知道哪个域正在呼叫，以防止不必要的呼叫。 或者，我可以检查主叫IP，怎么知道？

非常感谢

Answer 1

为什么这样工作？ 这不是跨域调用，因此我需要实现ALLOW-ORIGIN标头？ 一世

就浏览器而言，您不是直接从其他来源读取数据。 您正在从另一个来源加载JavaScript程序（并且恰好捆绑了一些数据）。

在服务器中，我无法确定哪个域正在发出呼叫，req.headers.origin始终未定义。 我想知道哪个域正在呼叫，以防止不必要的呼叫。

引用页面的URL存储在Referer标头中，而不是Origin标头中。 但是，它是可选的，在很多情况下不会发送。

如果您想限制对某些站点的数据访问，则不能使用JSON-P。 请改用纯JSON和CORS。

或者，我可以检查主叫IP，怎么知道？

这将为您提供客户端的地址，而不是将客户端定向到您的服务器。