跨域到底怎么解决？前端工程师必会的6种实用方案

一、为什么会出现跨域问题？

浏览器出于安全考虑实施了同源策略（Same-Origin Policy），当协议（http/https）、域名（www.example.com）、端口（8080）任一不同时，就会触发跨域限制。这种机制能有效防御XSS、CSRF等攻击，但也给前后端分离开发带来挑战。

常见跨域场景示例：

• 本地开发环境访问测试服务器API（localhost:3000 → api.test.com）
• 多子域名系统通信（shop.example.com → payment.example.com）
• 第三方服务接口调用（你的网站 → 微信支付API）

二、6种前端跨域解决方案详解

1. CORS（跨域资源共享）

核心原理：服务端设置响应头声明允许的源

Access-Control-Allow-Origin: 
Access-Control-Allow-Methods: GET,POST
Access-Control-Allow-Headers: Content-Type

适用场景：主流RESTful API对接
注意事项：需后端配合设置，复杂请求会触发预检（OPTIONS）

2. JSONP方案

实现方式：动态创建script标签获取数据

function handleResponse(data) {
  console.log(data);
}
const script = document.createElement('script');
script.src = 'http://api.com/data?callback=handleResponse';
document.body.appendChild(script);

优点：兼容IE等老浏览器
局限：仅支持GET请求，存在XSS风险

3. 代理服务器方案

开发环境下常用配置示例（以Vue项目为例）：

// vue.config.js
module.exports = {
  devServer: {
    proxy: {
      '/api': {
        target: 'http://backend-service.com',
        changeOrigin: true,
        pathRewrite: {'^/api': ''}
      }
    }
  }
}

优势：彻底规避浏览器限制，适用于复杂场景

4. WebSocket协议

建立全双工通信通道：

const socket = new WebSocket('ws://api.example.com');
socket.onmessage = (event) => {
  console.log('收到消息:', event.data);
};

5. postMessage通信

实现跨窗口通信的典型代码：

// 父窗口
iframe.contentWindow.postMessage(data, 'http://child-domain.com');

// 子窗口
window.addEventListener('message', (event) => {
  if(event.origin !== 'http://parent.com') return;
  console.log(event.data);
});

6. Nginx反向代理

生产环境常用配置示例：

location /api/ {
  proxy_pass http://backend-server:8080/;
  add_header 'Access-Control-Allow-Origin' '';
  add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
}

三、框架项目中的最佳实践

Vue/React项目代理配置

在vue-pure-admin等框架中创建表格页面时：

1. 配置开发环境代理（vue.config.js）
2. 封装axios实例设置baseURL
3. 使用环境变量管理不同域名的接口地址

Node中间层方案

通过Express中间件统一处理：

app.use((req, res, next) => {
  res.header('Access-Control-Allow-Origin', 'https://your-domain.com');
  res.header('Access-Control-Allow-Headers', 'Authorization');
  next();
});

四、安全与性能优化建议

• 严格限制Access-Control-Allow-Origin：避免使用通配符，建议白名单机制
• 预检请求缓存：设置Access-Control-Max-Age减少OPTIONS请求
• 敏感操作防护：重要接口应校验Origin头并配置CSRF Token

五、疑难问题排查指南

当遇到类似Ollama API的跨域限制时，可通过设置环境变量解除限制：

OLLAMA_ORIGINS=

六、方案选型决策树

1. 开发环境优先使用代理方案
2. 生产环境推荐CORS+Nginx组合
3. 老旧系统维护考虑JSONP
4. 实时通信场景选用WebSocket

理解不同方案的实现原理和适用边界，根据项目实际需求选择最合适的跨域解决方案。建议在项目初期就制定好跨域策略，避免后期改造带来的额外成本。