什么是跨域策略
跨域策略(CORS，Cross-Origin Resource Sharing)是一种基于HTTP头的安全机制，它允许Web应用服务器指定哪些外部源可以访问自己的资源。同源策略(Same-Origin Policy)是浏览器实施的安全限制，而CORS则是突破这一限制的标准解决方案。当Web应用需要从不同协议、域名或端口获取资源时，就必须正确处理跨域问题。
CORS的工作原理
简单请求与预检请求
CORS将请求分为简单请求和非简单请求。简单请求满足特定条件(如GET/HEAD/POST方法，Content-Type为text/plain等)，浏览器会直接发送请求并在响应头中检查Access-Control-Allow-Origin。而非简单请求(如PUT/DELETE方法，或自定义头部的请求)会先发送OPTIONS预检请求，服务器确认允许后才发送实际请求。
关键响应头解析
服务器通过以下响应头控制CORS行为：Access-Control-Allow-Origin指定允许的源；Access-Control-Allow-Methods列出允许的HTTP方法；Access-Control-Allow-Headers定义允许的请求头；Access-Control-Allow-Credentials指示是否允许发送凭据；Access-Control-Max-Age设置预检请求缓存时间。理解这些头的含义对正确配置CORS至关重要。
常见跨域解决方案
除了CORS标准方案外，开发者还常使用以下方法解决跨域问题：JSONP利用script标签不受同源策略限制的特性；代理服务器将跨域请求转为同源请求；WebSocket协议不受同源策略限制；postMessage API实现跨文档通信。每种方案都有其适用场景和局限性，需要根据具体需求选择。
实际开发中的CORS配置
后端配置示例
以下是常见后端框架的CORS配置示例：Node.js Express使用cors中间件；Spring Boot通过@CrossOrigin注解或WebMvcConfigurer配置；Django使用django-cors-headers包；Nginx通过add_header指令设置CORS头。配置时需注意安全性，避免使用通配符允许所有源，而应明确指定可信域名。
前端注意事项
前端开发中，使用fetch或XMLHttpRequest发起跨域请求时需注意：withCredentials属性控制是否发送凭据；错误处理要区分网络错误和CORS策略错误；开发环境下可配置代理避免跨域问题；生产环境应确保前后端域名配置正确。现代前端框架如React、Vue都提供了处理跨域请求的解决方案。
CORS安全最佳实践
实施CORS时应遵循以下安全原则：严格限制允许的源，避免使用通配符；敏感操作应结合CSRF防护；合理设置Access-Control-Max-Age缓存时间；对预检请求进行适当限制；重要API考虑添加额外的认证层。同时要关注OWASP关于CORS安全的最新建议，防范潜在的跨域安全风险。
跨域策略是现代Web开发不可或缺的一部分，正确理解和应用CORS机制既能满足业务需求，又能保障应用安全。通过本文的详细解析，希望开发者能够掌握跨域资源共享的核心概念和实现方法，在实际项目中游刃有余地处理各种跨域场景。
常见问题解答
- 如何解决开发环境下的跨域问题？
开发环境下可配置代理服务器或使用浏览器插件临时禁用安全限制，但生产环境必须正确配置CORS。
- 为什么OPTIONS预检请求失败？
预检请求失败通常是因为服务器未正确响应OPTIONS方法或缺少必要的CORS头，需检查后端配置。
- JSONP和CORS有什么区别？
JSONP只支持GET请求且安全性较低，CORS是标准化的跨域解决方案，支持各种HTTP方法和更细粒度的控制。
- 跨域请求能否携带Cookie？
可以，但需要服务器设置Access-Control-Allow-Credentials: true，且前端请求设置withCredentials为true，同时Access-Control-Allow-Origin不能使用通配符。