跨域
跨域 (Cross-Origin Resource Sharing, CORS) 是一种网络浏览器使用的安全机制，用于限制一个网页从其他不同源（协议、域名、端口）获取资源。这是为了防止恶意网站进行跨站请求伪造（CSRF）。跨域的主要知识点包括：
同源策略（Same-Origin Policy）：这是一种安全策略，限制了从一个源加载的文档或脚本如何与来自另一个源的资源进行交互。这有助于阻止恶意脚本对用户数据的无授权访问。
跨域请求：当一个请求从一个源发送到另一个源时，就会产生跨域请求。例如，如果你在
http://example.com上的页面尝试从http://api.example.com获取数据，那么这就是一个跨域请求。CORS：这是一个允许许多资源（例如字体、JavaScript 等）在额外的源请求的机制。它提供了一种安全的方式来允许一个网页的脚本从不同的源请求资源。
预检请求（Preflight Request）：对于可能对服务器数据产生副作用的 HTTP 请求类型（特别是某些类型的跨站请求），浏览器必须首先使用 OPTIONS 方法发起一个预检请求，从服务器获取允许的方法，然后才发起实际的 HTTP 请求。
CORS 头部：CORS 协议通过 HTTP 头部字段实现，包括 Origin，Access-Control-Allow-Origin，Access-Control-Allow-Credentials 等。
JSONP：这是一种早期解决跨域问题的方法，它利用了
<script>标签的 src 属性没有同源限制的特性来发送请求。但是，JSONP 只能处理 GET 请求，而且安全性较差。服务器代理：服务器没有同源策略的限制，因此可以作为中间人，接收前端的请求，然后转发给其他服务器，再将获取的响应返回给前端。
WebSockets：WebSockets 协议不受同源策略限制，因此可以用于跨域通信。
postMessage API：这是一种在不同源之间安全地传递数据的方法。
CORS 和 cookie：如果你想在跨域请求中发送/接收 cookies，你需要设置一些特殊的 CORS 头部。
跨域处理
后端处理跨域请求的方法通常涉及设置 HTTP 响应头来允许来自不同源的前端代码进行请求。以下是后端处理跨域的一些常见方式：
设置 CORS 响应头： 最直接的处理跨域的方式是在后端服务的响应中设置 CORS（Cross-Origin Resource Sharing）相关的 HTTP 头。以下是一些常用的 CORS 响应头：
Access-Control-Allow-Origin: 指定哪些网站可以进行跨域请求。例如，设置为*表示允许所有网站，或者指定具体的网站如https://example.com。Access-Control-Allow-Methods: 指定允许的 HTTP 方法，如GET, POST, PUT, DELETE等。Access-Control-Allow-Headers: 指定允许的 HTTP 头字段，如Content-Type, Authorization等。Access-Control-Allow-Credentials: 指定是否允许携带证书（如 Cookies）。如果需要前端在请求中携带认证信息，如 Cookies，这个值需要设置为true。
JSONP（已过时）： JSONP 是一种老旧的技术，通常不推荐使用，因为它只支持 GET 请求，并且存在安全风险。如果使用，后端需要返回一个 JSONP 响应，通常是一个函数调用的 JavaScript 代码。
代理服务器： 后端可以部署一个代理服务器，如 Nginx 或 Node.js 服务器，来转发请求。代理服务器会接收前端的请求，然后将其转发到实际的后端服务，并将响应返回给前端。这样，前端就不会直接与目标服务器进行通信，从而绕过了浏览器的同源策略。
WebSockets： 如果使用 WebSockets 进行通信，后端需要支持 WebSocket 协议。WebSockets 不受同源策略限制，可以实现跨域通信。
配置服务器： 在一些服务器软件中，如 Apache 或 Nginx，可以直接通过配置文件来设置 CORS 策略，而无需修改应用程序代码。
中间件： 在使用诸如 Express.js 这样的 Node.js 框架时，可以使用中间件如
cors包来简化 CORS 的设置。只需几行代码就可以为所有路由或特定路由启用 CORS。
这些方法中，CORS 是最常用且推荐的解决方案，因为它既安全又灵活。不同的后端语言和框架有不同的实现方式，但核心思想都是在 HTTP 响应中设置正确的 CORS 头部信息。