關於CORS和AJAX的幾個問題

Question

因此，我希望提出一些跨域AJAX請求，並希望檢查一些內容。

• 是否可以使CORS在IE <8上工作？
• 我需要確保在向AJAX請求發送的服務器的響應上設置Access-Control-Allow-Origin標頭。 除了允許每個站點都發出請求之外，將其設置為*還會有安全隱患嗎？
• 從客戶端安全的角度來看， 默認情況下 ，CORS請求不會向我向其發出AJAX請求的服務器發送cookie（例如，會話數據）。 但是，可以發送cookie數據等...此語句正確嗎？

Answer 1

是否可以使CORS在IE <8上工作？

不幸的是沒有。 微軟的XDomainRequest直到IE8才出現。

除了允許每個站點都發出請求外，將Access-Control-Allow-Origin設置為*是否有安全隱患？

嚴格來說不，但這本身就帶來了一系列潛在的安全問題。 除非您需要所有允許的來源，否則最好配置白名單。

從客戶端安全的角度來看，默認情況下，CORS請求不會將cookie發送到我向其發出AJAX請求的服務器。 但是，有可能。 這句話正確嗎？

是，對的。 如果要包括cookie，則必須配置XHR的withCredentials屬性。

附加信息：

• MDN訪問控制（CORS）