Làm thế nào để bỏ qua Access-Control-Cho phép-Origin?

Tôi đang thực hiện cuộc gọi ajax đến máy chủ của riêng mình trên nền tảng mà họ đặt để ngăn chặn các cuộc gọi ajax này (nhưng tôi cần nó để lấy dữ liệu từ máy chủ của mình để hiển thị dữ liệu được truy xuất từ ​​cơ sở dữ liệu của máy chủ của tôi). Tập lệnh ajax của tôi đang hoạt động, nó có thể gửi dữ liệu tới tập lệnh php của máy chủ của tôi để cho phép nó xử lý. Tuy nhiên, nó không thể lấy lại dữ liệu đã xử lý vì nó bị chặn bởi"Access-Control-Allow-Origin"

Tôi không có quyền truy cập vào nguồn / lõi của nền tảng đó. vì vậy tôi không thể xóa tập lệnh mà nó không cho phép tôi làm như vậy. (P / SI đã sử dụng Bảng điều khiển của Google Chrome và phát hiện ra lỗi này)

Mã Ajax như dưới đây:

 $.ajax({
     type: "GET",
     url: "http://example.com/retrieve.php",
     data: "id=" + id + "&url=" + url,
     dataType: 'json',   
     cache: false,
     success: function(data)
      {
        var friend = data[1];              
        var blog = data[2];           
        $('#user').html("<b>Friends: </b>"+friend+"<b><br> Blogs: </b>"+blog);

      } 
  });

hoặc có một JSONmã tương đương với tập lệnh ajax ở trên? Tôi nghĩ JSONlà được phép.

Tôi hy vọng ai đó có thể giúp tôi ra.

Đặt cái này lên trên lấy.

header('Access-Control-Allow-Origin: *');  

Lưu ý rằng điều này vô hiệu hóa hiệu quả bảo vệ CORS và khiến người dùng của bạn bị tấn công. Nếu bạn không hoàn toàn chắc chắn rằng bạn cần cho phép tất cả các nguồn gốc, bạn nên khóa nó xuống một nguồn gốc cụ thể hơn:

header('Access-Control-Allow-Origin: https://www.example.com')

Vui lòng tham khảo câu trả lời ngăn xếp sau để hiểu rõ hơn về Access-Control-Allow-Origin

https://stackoverflow.com/a/10636765/413670

Được rồi, nhưng tất cả các bạn đều biết rằng * là ký tự đại diện và cho phép tập lệnh chéo trang từ mọi miền?

Bạn muốn gửi nhiều Access-Control-Allow-Origintiêu đề cho mọi trang web được phép - nhưng thật không may, nó chính thức không được hỗ trợ để gửi nhiều Access-Control-Allow-Origintiêu đề hoặc để đặt nhiều nguồn gốc.

Bạn có thể giải quyết điều này bằng cách kiểm tra nguồn gốc và gửi lại cái đó trong tiêu đề, nếu nó được cho phép:

$origin = $_SERVER['HTTP_ORIGIN'];
$allowed_domains = [
    'http://mysite1.com',
    'https://www.mysite2.com',
    'http://www.mysite2.com',
];

if (in_array($origin, $allowed_domains)) {
    header('Access-Control-Allow-Origin: ' . $origin);
}

Đó là an toàn hơn nhiều. Bạn có thể muốn chỉnh sửa kết hợp và thay đổi nó thành một chức năng thủ công với một số biểu thức chính quy hoặc một cái gì đó tương tự. Ít nhất điều này sẽ chỉ gửi lại 1 tiêu đề và bạn sẽ chắc chắn đó là tiêu đề mà yêu cầu đến từ đó. Xin lưu ý rằng tất cả các tiêu đề HTTP có thể bị giả mạo, nhưng tiêu đề này là để bảo vệ khách hàng. Đừng bảo vệ dữ liệu của bạn với những giá trị đó. Nếu bạn muốn biết thêm, hãy đọc một chút về CORS và CSRF.

Tại sao nó an toàn hơn?

Cho phép truy cập từ các vị trí khác sau đó trang web đáng tin cậy của riêng bạn cho phép đánh dấu phiên cao. Tôi sẽ đi với một ví dụ nhỏ - hình ảnh Facebook cho phép nguồn gốc ký tự đại diện - điều này có nghĩa là bạn có thể tạo trang web của riêng mình ở đâu đó và thực hiện cuộc gọi AJAX (hoặc mở iframe) lên facebook. Điều này có nghĩa là bạn có thể lấy thông tin đăng nhập trên facebook của một khách truy cập trang web của bạn. Thậm chí tệ hơn - bạn có thể POSTyêu cầu tập lệnh và đăng dữ liệu trên facebook của ai đó - ngay khi họ đang duyệt trang web của bạn.

Hãy rất thận trọng khi sử dụng các ACAOtiêu đề!

Cảnh báo , Chrome (và các trình duyệt khác) sẽ phàn nàn rằng nhiều tiêu đề ACAO được đặt nếu bạn làm theo một số câu trả lời khác.

Lỗi sẽ là một cái gì đó như XMLHttpRequest cannot load ____. The 'Access-Control-Allow-Origin' header contains multiple values '____, ____, ____', but only one is allowed. Origin '____' is therefore not allowed access.

Thử cái này:

$http_origin = $_SERVER['HTTP_ORIGIN'];

$allowed_domains = array(
  'http://domain1.com',
  'http://domain2.com',
);

if (in_array($http_origin, $allowed_domains))
{  
    header("Access-Control-Allow-Origin: $http_origin");
}

Tôi đã khắc phục vấn đề này khi gọi Trình điều khiển MVC3. Tôi đã thêm:

Response.AddHeader("Access-Control-Allow-Origin", "*"); 

trước khi của tôi

return Json(model, JsonRequestBehavior.AllowGet);

Và tôi $.ajaxcũng phàn nàn rằng nó không chấp nhận tiêu đề Kiểu nội dung trong cuộc gọi ajax của tôi, vì vậy tôi đã nhận xét nó khi tôi biết JSON của nó được chuyển đến Hành động.

Mong rằng sẽ giúp.

Đó là một ý tưởng thực sự tồi để sử dụng *, khiến bạn mở rộng để tạo kịch bản chéo trang web. Về cơ bản, bạn luôn muốn có tên miền của riêng mình, nằm trong phạm vi cài đặt SSL hiện tại của bạn và các tên miền bổ sung tùy chọn. Bạn cũng muốn tất cả chúng được gửi dưới dạng một tiêu đề. Phần sau đây sẽ luôn cho phép tên miền của riêng bạn trong cùng phạm vi SSL như trang hiện tại và tùy ý cũng có thể bao gồm bất kỳ số lượng tên miền bổ sung nào. Nó sẽ gửi tất cả chúng dưới dạng một tiêu đề và ghi đè lên (các) tiêu đề trước đó nếu có thứ gì khác đã gửi chúng để tránh bất kỳ cơ hội nào trình duyệt càu nhàu về việc nhiều tiêu đề kiểm soát truy cập được gửi.

class CorsAccessControl
{
    private $allowed = array();

    /**
     * Always adds your own domain with the current ssl settings.
     */
    public function __construct()
    {
        // Add your own domain, with respect to the current SSL settings.
        $this->allowed[] = 'http'
            . ( ( array_key_exists( 'HTTPS', $_SERVER )
                && $_SERVER['HTTPS'] 
                && strtolower( $_SERVER['HTTPS'] ) !== 'off' ) 
                    ? 's' 
                    : null )
            . '://' . $_SERVER['HTTP_HOST'];
    }

    /**
     * Optionally add additional domains. Each is only added one time.
     */
    public function add($domain)
    {
        if ( !in_array( $domain, $this->allowed )
        {
            $this->allowed[] = $domain;
        }
    /**
     * Send 'em all as one header so no browsers grumble about it.
     */
    public function send()
    {
        $domains = implode( ', ', $this->allowed );
        header( 'Access-Control-Allow-Origin: ' . $domains, true ); // We want to send them all as one shot, so replace should be true here.
    }
}

Sử dụng:

$cors = new CorsAccessControl();

// If you are only authorizing your own domain:
$cors->send();

// If you are authorizing multiple domains:
foreach ($domains as $domain)
{
    $cors->add($domain);
}
$cors->send();

Bạn có được ý tưởng.

Bạn đã thử thực sự thêm tiêu đề Access-Control-Allow-Origin vào phản hồi được gửi từ máy chủ của bạn chưa? Giống như Access-Control-Allow-Origin: *?