CORS允许的JavaScript

Question

的远程嵌入我有一个可以从远程服务器被嵌入的JavaScript控件（如http://aaa.bbb.ccc）

我的JavaScript（一个简单的警报（“你好”））是由一个PHP脚本创建，并在执行时我送头

<?php 
header("Access-Control-Allow-Origin: http://aaa.bbb.ddd"); 
echo "alert('hello')"; 

我期望我的JavaScript不能远程主机上执行，但该警报显示。

怎么了？

Answer 1

加载来自不同来源的脚本没有限制。

同源策略阻止JavaScript从不同的来源读取。

CORS是弛豫的一种方式允许JS从不同来源读取数据的同源策略。

CORS无法在默认情况下应用相同原点策略时添加其他限制。

---

考虑编写的JS检查的location价值，并抛出一个异常，如果它是不可接受的。