Access-Control-Allow-Origin不允许使用Origin

Question

我正在Ajax.request使用Sencha Touch 2应用程序(包装在PhoneGap中)创建一个远程PHP服务器.

服务器的响应如下:

XMLHttpRequest无法加载http://nqatalog.negroesquisso.pt/login.php.原产地http://localhost:8888不被访问控制允许来源允许的.

我该如何解决这个问题？

Answer 1

我前段时间写了一篇关于这个问题的文章,跨域AJAX.

如果您控制响应服务器,最简单的方法是为以下内容添加响应标头:

Access-Control-Allow-Origin: *

这将允许跨域Ajax.在PHP中,您需要修改响应,如下所示:

<?php header('Access-Control-Allow-Origin: *'); ?>

您可以将Header set Access-Control-Allow-Origin *设置放在Apache配置或htaccess文件中.

应该注意的是,这有效地禁用了CORS保护,这很可能会使您的用户受到攻击.如果您不知道您特别需要使用通配符,则不应使用它,而应将特定域列入白名单:

<?php header('Access-Control-Allow-Origin: http://example.com') ?>

Answer 2

如果您无法控制服务器,只需将此参数添加到Chrome启动器:--disable-web-security.

请注意,我不会将此用于正常的"网上冲浪".有关参考,请参阅此帖子:在Chrome中停用相同的来源政策.

您可以使用Phonegap实际构建应用程序并将其加载到设备上,这不是问题.

Answer 3

如果你正在使用Apache,只需添加:

<ifModule mod_headers.c>
    Header set Access-Control-Allow-Origin: *
</ifModule>

在您的配置中.这将导致您的网络服务器的所有回复都可以从互联网上的任何其他网站访问.如果您打算仅允许特定服务器使用主机上的服务,则可以使用*原始服务器的URL 替换:

Header set Access-Control-Allow-Origin: http://my.origin.host

Answer 4

如果您有ASP.NET/ASP.NET MVC应用程序,则可以通过Web.config文件包含此标头:

<system.webServer>
  ...

    <httpProtocol>
        <customHeaders>
            <!-- Enable Cross Domain AJAX calls -->
            <remove name="Access-Control-Allow-Origin" />
            <add name="Access-Control-Allow-Origin" value="*" />
        </customHeaders>
    </httpProtocol>
</system.webServer>

Answer 5

这是我尝试使用ASP.NET MVC作为我的数据源解决相同问题时出现的第一个问题/答案.我意识到这并没有解决PHP问题,但它足够相关,有价值.

我正在使用ASP.NET MVC.Greg Brant的博客文章为我工作.最终,您创建一个属性,[HttpHeaderAttribute("Access-Control-Allow-Origin", "*")]您可以将其添加到控制器操作中.

例如:

public class HttpHeaderAttribute : ActionFilterAttribute
{
    public string Name { get; set; }
    public string Value { get; set; }
    public HttpHeaderAttribute(string name, string value)
    {
        Name = name;
        Value = value;
    }

    public override void OnResultExecuted(ResultExecutedContext filterContext)
    {
        filterContext.HttpContext.Response.AppendHeader(Name, Value);
        base.OnResultExecuted(filterContext);
    }
}

然后使用它:

[HttpHeaderAttribute("Access-Control-Allow-Origin", "*")]
public ActionResult MyVeryAvailableAction(string id)
{
    return Json( "Some public result" );
}

Answer 6

由于Matt Mombrea对于服务器端是正确的,您可能会遇到另一个问题,即白名单拒绝.

您必须配置phonegap.plist.(我使用旧版本的phonegap)

对于cordova,命名和目录可能会有一些变化.但步骤应该大致相同.

首先选择支持文件> PhoneGap.plist

然后在"ExternalHosts"下

添加一个条目,其值可能为" http://nqatalog.negroesquisso.pt "我正在使用*仅用于调试目的.

Answer 7

在使用各种AP​​I时,我已经遇到过这种情况.通常快速解决方法是添加"&callback =？" 到一个字符串的结尾.有时,&符必须是字符代码,有时是"？":"？callback =？" (请参阅使用jQuery的Forecast.io API用法)

Answer 8

对于需要对引荐来源的"www"和"非www"版本进行例外处理的任何人来说,这可能很方便:

 $referrer = $_SERVER['HTTP_REFERER'];
 $parts = parse_url($referrer);
 $domain = $parts['host'];

 if($domain == 'google.com')
 {
         header('Access-Control-Allow-Origin: http://google.com');
 }
 else if($domain == 'www.google.com')
 {
         header('Access-Control-Allow-Origin: http://www.google.com');
 }

Answer 9

我将为您提供一个简单的解决方案.在我的情况下,我无法访问服务器.在这种情况下,您可以更改Google Chrome浏览器中的安全策略,以允许Access-Control-Allow-Origin.这很简单:

1. 创建Chrome浏览器快捷方式
2. 右键单击快捷图标 - >属性 - >快捷方式 - >目标

简单粘贴"C:\Program Files\Google\Chrome\Application\chrome.exe" --allow-file-access-from-files --disable-web-security.

位置可能不同.现在点击该快捷方式打开Chrome.

Answer 10

如果您正在编写Chrome扩展程序并收到此错误,请确保已将API的基本URL添加到您manifest.json的权限块,例如:

"permissions": [
    "https://itunes.apple.com/"
]

Answer 11

如果你在apache下,只需使用以下内容将.htaccess文件添加到你的目录:

Header set Access-Control-Allow-Origin: *

Header set Access-Control-Allow-Headers: content-type

Header set Access-Control-Allow-Methods: *

Answer 12

这是因为同源政策.有关Mozilla Developer Network或Wikipedia的更多信息,请参阅.

基本上,在您的示例中,您只需要从而不是加载http://nqatalog.negroesquisso.pt/login.php页面.nqatalog.negroesquisso.ptlocalhost

Answer 13

如果你在Angular.js中得到它,那么请确保你像这样转义你的端口号:

var Project = $resource(
    'http://localhost\\:5648/api/...', {'a':'b'}, {
        update: { method: 'PUT' }
    }
);

有关详细信息,请参见此处.

Answer 14

在Ruby on Rails中,您可以在控制器中执行以下操作:

headers['Access-Control-Allow-Origin'] = '*'

Answer 15

您可以通过Access-Control-Allow-Origin: *在HTTP OPTIONS的响应中使包括标题的broswer来使其无需修改服务器.

在Chrome中,使用此扩展程序.如果你在Mozilla上,请检查这个答案.