跨域请求的一个问题

[leosirius666a]

自己用 XHR 对象向 google.com 发起 get 请求，浏览器会报

Access to XMLHttpRequest at 'https://www.google.com/' from origin 'http://localhost:52331' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

我用浏览器直接访问 google.com ，不也是在不同的域吗，为什么没有跨域问题。

[lhx2008]

不要带自定义头

[lhx2008]

说错了，这种 Google 回的时候要有一个额外的头

[leosirius666a]

我什么都没做，代码这样的
```js
let xhr = new XMLHttpRequest();
xhr.open("get", "https://www.google.com", true);
xhr.send(null);

xhr.onreadystatechange = function () {
if (xhr.readyState == 4) {
if ((xhr.status >= 200 && xhr.status < 300) || xhr.status == 304) {
alert(xhr.responseText);
} else {
alert("Request was unsuccessful: " + xhr.status);
}
}
}
```

[1OF7G]

这是浏览器对网页施加的限制，而不是 系统或网络协议或某种魔法 对浏览器的限制。

[leosirius666a]

@1OF7G 我知道是浏览器在 response 成功返回后浏览器自己把返回 block 了，但是为什么直接访问它就没有 block

[1OF7G]

@leosirius666a 浏览器只是阻止把 google.com 的内容给到其它第三方网站的 JS，如你的 localhost。如果你直接访问，根本没有第三者参与进来，还防范谁呢？

[beastk]

js 限制

[VDimos]

。。。跨域不是这个意思，跨域是指你的域名的脚本加载了不是你域名的内容。。。

[leosirius666a]

@VDimos 原来是这样。。

[zsdroid]

https://www.baidu.com/s?wd=%E4%BB%80%E4%B9%88%E6%98%AF%E8%B7%A8%E5%9F%9F

[cst4you]

https://www.google.com/search?q=CORS&ie=utf-8&oe=utf-8

[leosirius666a]

@lhx2008
@1OF7G
@beastk
@VDimos
@zsdroid
@cst4you
感谢各位，终于搞清楚了这个问题，顺便给我的笔记打个广告
https://851958789.gitbook.io/leo-notes/shi-yong-ji-shu/web-kai-fa-chang-jian-wen-ti/01-kua-yu-qing-qiu

[ssshooter]

https://ssshooter.com/2019-11-08-csrf-n-cors/

[x66]

“chrome.exe” –disable-web-security –user-data-dir=xxx

[beastk]

其实你还没搞懂。localhost 是本地域，有特权，不信你用 ie 使用 ajax，http https 是网络域，脚本资源遵循同源策略。

[beastk]

@beastk #15 勘误，在 ie 下，file 协议有特权