Moyens de contourner la Politique de la même origine

Le document.domain méthode

• Type de méthode: iframe .

notez qu'il s'agit d'une méthode iframe qui fixe la valeur du document.domaine vers un suffixe du domaine courant. Si c'est le cas, le domaine plus court est utilisé pour les contrôles d'origine ultérieurs. Par exemple, supposons qu'un script dans le document à http://store.company.com/dir/other.html exécute la déclaration suivante:

document.domain = "company.com";

Après que cette déclaration s'exécute, la page passe la vérification de l'origine avec http://company.com/dir/page.html . Toutefois, selon le même raisonnement, company.com ne pouvait pas mettre document.domain à othercompany.com .

avec cette méthode, vous seriez autorisé à exécuter javascript à partir d'une iframe provenant d'un sous-domaine sur une page provenant du domaine principal. Cette méthode n'est pas adaptée pour les ressources inter-domaines car les navigateurs comme Firefox ne vous permettront pas de changer le document.domain en un complètement étranger domaine.

Source: https://developer.mozilla.org/en/Same_origin_policy_for_JavaScript

Le Cross-Origin Resource sharing méthode

• type de Méthode: AJAX .

Cross-Origin Resource Sharing (CORS) est un projet de travail du W3C qui définit comment le navigateur et le serveur doivent communiquer lorsque accès aux sources à travers les origines. L'idée de base derrière CORS est d'utiliser des en-têtes HTTP personnalisés pour permettre à la fois au navigateur et au serveur d'en savoir assez sur l'autre pour déterminer si la requête ou la réponse devrait réussir ou échouer.

pour une requête simple, qui utilise soit GET ou POST sans en-tête personnalisé et dont le corps est text/plain , la requête est envoyée avec un en-tête supplémentaire appelé Origin . L'en-tête Origin contient l'origine (protocole, nom de domaine et port) de la page requérante afin que le serveur puisse facilement déterminer s'il doit ou non servir une réponse. Un exemple Origin en-tête pourrait ressembler à ceci:

Origin: http://www.stackoverflow.com

si le serveur décide que la requête doit être autorisée, il envoie un en-tête Access-Control-Allow-Origin faisant écho à la même origine que celle envoyée ou * s'il s'agit d'une ressource publique. Par exemple:

Access-Control-Allow-Origin: http://www.stackoverflow.com

Si cet en-tête est manquant, ou les origines ne correspondent pas, alors le navigateur rejette la demande. Si tout va bien, puis le navigateur traite la demande. Veuillez noter que ni les demandes ni les réponses ne contiennent de renseignements sur les témoins.

l'équipe de Mozilla suggère dans leur post sur CORS que vous devriez vérifier l'existence de la propriété withCredentials pour déterminer si le navigateur supporte CORS via XHR. Vous pouvez alors couple avec l'existence du XDomainRequest objet pour tous les navigateurs:

function createCORSRequest(method, url){
    var xhr = new XMLHttpRequest();
    if ("withCredentials" in xhr){
        xhr.open(method, url, true);
    } else if (typeof XDomainRequest != "undefined"){
        xhr = new XDomainRequest();
        xhr.open(method, url);
    } else {
        xhr = null;
    }
    return xhr;
}

var request = createCORSRequest("get", "http://www.stackoverflow.com/");
if (request){
    request.onload = function() {
        // ...
    };
    request.onreadystatechange = handler;
    request.send();
}

notez que pour que la méthode CORS fonctionne, vous devez avoir accès à n'importe quel type de mécanique d'en-tête de serveur et ne pouvez pas simplement accéder à n'importe quelle ressource tierce.

Source: http://www.nczonline.net/blog/2010/05/25/cross-domain-ajax-with-cross-origin-resource-sharing /

Le window.postMessage méthode

• Type de méthode: iframe .

window.postMessage , lorsqu'il est appelé, fait qu'un MessageEvent est envoyé à la fenêtre cible lorsque n'importe quel script en attente qui doit être exécuté est terminé (par exemple les gestionnaires d'événements restants si window.postMessage est appelé à partir d'un gestionnaire d'événements, précédemment-défini temps d'attente, etc.). Le MessageEvent a le message de type, une propriété data qui est réglée à la valeur de chaîne du premier argument fourni à window.postMessage , un origin propriété correspondant à l'origine du document principal dans la fenêtre appelant window.postMessage à l'époque window.postMessage a été appelé, et une source propriété qui est la fenêtre à partir de laquelle window.postMessage est appelé.

utiliser window.postMessage , un écouteur d'événement doivent être joints:

    // Internet Explorer
    window.attachEvent('onmessage',receiveMessage);

    // Opera/Mozilla/Webkit
    window.addEventListener("message", receiveMessage, false);

et une fonction receiveMessage doivent être déclarées:

function receiveMessage(event)
{
    // do something with event.data;
}

l'iframe hors site doit également envoyer événements correctement via postMessage :

<script>window.parent.postMessage('foo','*')</script>

une fenêtre peut accéder à cette méthode sur n'importe quelle autre fenêtre, à tout moment, indépendamment de l'emplacement du document dans la fenêtre, afin d'envoyer un message. Par conséquent, tout auditeur d'événements utilisé pour recevoir des messages doit d'abord vérifier l'identité de l'expéditeur du message, en utilisant les propriétés d'origine et éventuellement de source. Cela ne peut pas être sous-estimé: défaut de vérifier le origin et peut-être Les propriétés source permettent des attaques de scripts sur plusieurs sites.

Source: https://developer.mozilla.org/en/DOM/window.postMessage