jsonp介绍与优缺点

偏执的太偏执、 2022-06-08 13:13 212阅读 0赞

jsonp

> 1.介绍jsonp:
> 
> > Jsonp(JSON with Padding) 是 json 的一种"使用模式"，可以让网页从别的域名（网站）那获取资料，即跨域读取数据。
> 
> > 为什么我们从不同的域（网站）访问数据需要一个特殊的技术(JSONP )呢？这是因为同源策略。
> 
> > 同源策略，它是由Netscape提出的一个著名的安全策略，现在所有支持JavaScript 的浏览器都会使用这个策略。
> 
>  
> 
> 2.优缺点：

> > 优点：
> 
> > > 它不像XMLHttpRequest对象实现的Ajax请求那样受到同源策略的限制，JSONP可以跨越同源策略；
> 
> > > 它的兼容性更好，在更加古老的浏览器中都可以运行，不需要XMLHttpRequest或ActiveX的支持
> 
> > > 在请求完毕后可以通过调用callback的方式回传结果。将回调方法的权限给了调用方。这个就相当于将controller层和view层终于分 开了。我提供的jsonp服务只提供纯服务的数据，至于提供服务以 后的页面渲染和后续view操作都由调用者来自己定义就好了。如果有两个页面需要渲染同一份数据，你们只需要有不同的渲染逻辑就可以了，逻辑都可以使用同 一个jsonp服务。
> 
> > 缺点：
> 
> > > 1.jsonp只支持get请求而不支持post请求,也即是说如果想传给后台一个json格式的数据,此时问题就来了,浏览器会报一个http状态码
> 
> > > 415错误,告诉你请求格式不正确,这让我很蛋
> 
> > > 疼(在登录注册中需要给后台传一大串数据),如果都用参数的形式拼接在url后面的话不太现实,后台取值也会显得繁琐,
> 
> > > 2.在登录模块中需要用到session来判断当前用户的登录状态,这时候由于是跨域的原因,前后台的取到的session是不一样的,那么就不
> 
> > > 能就行session来判断.
> 
> > > 3.由于jsonp存在安全性问题(不知qq空间的跨域是怎么解决的,还是另有高招?)
> 
> > > 后来考虑到上面的一系列问题,采用的是后台进行设置允许跨域请求(但还是存在缺陷的,实质上还是跨域,如上面说的session问题)
> 
> > > .Header set Access-Control-Allow-Origin \*
> 
> > > 为了防止XSS攻击我们的服务器， 我们可以限制域，比如
> 
> > > Access-Control-Allow-Origin: [http://blog.csdn.net][http_blog.csdn.net]

> 3.安全防范：
> 
> > 1.防止callback参数意外截断js代码,特殊字符单引号双引号,换行符存在风险.
> 
> > 2.防止callback参数恶意添加script标签,造成xss漏洞
> 
> > 3.防止跨域请求滥用,阻止非法站点恶意调用
> 
> > 详细请看:http://blog.csdn.net/jian\_xi/article/details/66474717

[http_blog.csdn.net]: http://blog.csdn.net