CORS 允许远程嵌入 javascript

【问题标题】：CORS to allow remote embedding of javascriptCORS 允许远程嵌入 javascript
【发布时间】：2018-02-23 06:05:16
【问题描述】：

我有一个可以从远程服务器嵌入的 javascript 小部件（例如http://aaa.bbb.ccc）

我的 javascript（一个简单的警报（'hello'））是由一个 php 脚本创建的，当它执行时我发送标题

<?php
header("Access-Control-Allow-Origin: http://aaa.bbb.ddd");
echo "alert('hello')";

我预计我的 javascript 无法在远程主机上执行，但会显示警报。

怎么了？

【问题讨论】：

【解决方案1】：

从不同来源加载脚本没有限制。

同源策略阻止 JavaScript 从不同源读取。

CORS 是一种放松同源策略以允许 JS 从不同源读取数据的方法。

CORS 无法在默认情况下应用的同源策略之外添加其他限制。

考虑编写 JS 来检查 location 的值，如果不可接受则抛出异常。

【讨论】：