制作跨域API

Question

我有一個新項目在工作。 它將需要服務器到服務器和客戶端到跨域的服務器消息傳遞，就像Facebook API一樣。 我在哪里可以找到關於這個主題的好資源？

主要問題是：

• 我們是否應該更喜歡在“客戶”網站或腳本中使用iframe？
• 你如何創建握手？ 客戶端到服務器和服務器到服務器代碼？
• 如何確保此過程安全？ 如何驗證請求的來源？

我知道這是一個廣泛的話題，但我並不熟悉它，我想要朝着正確的方向努力。

Answer 1

您可以查看由Luke Sheppard編寫的Facebook跨域（XD）源代碼

https://github.com/facebook/connect-js/blob/master/src/core/xd.js

為了向后兼容，它使用flash對象以及在不支持window.postMessage（）的舊瀏覽器的磅符號技術之后的查詢字符串。

還有一個開源的easyXDM庫，它假設可以彌補瀏覽器差異並為兩者提供簡單的api。 （我正在評估中）

http://easyxdm.net

您基本上被鎖定使用IFrame進行跨域請求。 安全性是另一個巨大的主題，您還可以檢查有關stackoverflow如何通過第三方域進行身份驗證的http請求，他們使用會話和nonce令牌的散列來使其通過http保護。

祝好運！

Answer 2

JSONP適用於來自瀏覽器的跨域請求。 它不需要iframe，flash或其他技巧。

瀏覽器只是請求另一個JS腳本。 請記住，Javascript源文件可以跨域獲取。

您可以使用查詢字符串args作為api調用的參數。