跨域sql

‘壹’ sqlServer模式存储Session，请问如何跨域共享Session

SQLServer模式存储Session，请问如何跨域共享Session
首先简要说说asp.net 的session机制，当客户端向服务端发生会话时（不是访问了网站某页面就一定产生了会话），服务端会写一个cookie到客户端，这个cookie保存着sessionid ，名字为“ASP.NET_SessionID” ,在下一次发生向服务端的请求时这个cookie会包含在请求头中，这个cookie仅仅包含了sessionid ，其他信息以（某种形式）保存在服务端并被sessionid标识。

‘贰’ transactionscope 指定的事务所具有的 isolationlevel 与为该范围请求的值不同

分布式事务处理TransactionScope和非分布式事务处理TransactionScope它的用途是为数据库访问提供了一个“轻量级”区别于：SqlTransaction的事物TransactionScope这个事务自身还封装了多个数据库查询。只要任意一个SqlCommand对象引发异常，程序流控制就会跳出TransactionScope的using语句块，随后，TransactionScope将自行释放并回滚该事务。由于这段代码使用了using语句，所以SqlConnection对象和TransactionScope对象都将被自动调用Dispose()释放。由此可见，只需添加很少的几行代码，您就可以构建出一个事务模型，这个模型可以对异常进行处理，执行结束后会自行清理，此外，它还可以对命令的提交或回滚进行管理。TransactionScope在文档中宣称只在“必要”情况下才提升事务级别(多数据库时才使用分布式事务，如果是同一个数据库，最好使用SqlTransaction)，但是事实上不是这样。在TransactionScope内，只要你用不同的SqlConnection对象操作DB一次以上（不管你的目标是不是同一个实例、同一个库），都会提升事务级别到分布式事务。使用分布式事务注意如下几点1：确保参与事务的machine开启了分布式事务支持；2：如果machine开启了防火墙，需要设置msdtc进程为例外；3：参与事务的machine不能跨域（如果跨域，目前微软还没有确切的解决方案）；4：多数据库时才使用分布式事务，如果是同一个数据库，最好使用SqlTransaction.大部分都是用SqlTransaction这个类来在程序代码中保证事务性，但是SqlTransaction是与SQLServer数据库相关的类，如果将这个类用在了B层，那么就突破了三层架构的底线了，如果将来换数据库（比如从SQLServer换到Oracle），D层和B层都得重写，所以这样做的局限性很大。用TransactionScope，这个类是与具体数据库无关的类，用这个类来保证B层的事务性十分可行。示例:///////发送消息/////////格式7FFA3AF2-E74B-4174-8403-5010C53E49A7|userName,7FFA3AF2-E74B-4174-8403-5010C53E49A7|userName//////表示已送///publicstaticintsendMessage(stringsendUserId,stringtoUser,stringcontent,stringsendedStatus){intreceiveCount=0;=newTransactionOptions();//设置事务隔离级别transactionOption.IsolationLevel=System.Transactions.IsolationLevel.ReadCommitted;//设置事务超时时间为60秒transactionOption.Timeout=newTimeSpan(0,0,60);using(TransactionScopescope=newTransactionScope(TransactionScopeOption.Required,transactionOption)){try{//在这里实现事务性工作//发送消息insertMessage(sendUserId,toUser,content,sendedStatus);//在接收信息表中插入记录receiveCount+=insertReceiveMessage(userids[0],sendUserId,content,"0");//没有错误,提交事务scope.Complete();}catch(Exceptionex){thrownewException("发送信息异常,原因:"+ex.Message);}finally{//释放资源scope.Dispose();}}returnreceiveCount;}

‘叁’ vue-resource 怎么解决跨域问题

上一篇我们介绍了如何使用vue resource处理请求，结合服务端的REST API，就能够很容易地构建一个增删查改应用。

这个应用始终遗留了一个问题，Web App在访问REST API时，没有经过任何认证，这使得服务端的REST API是不安全的，只要有人知道api地址，就可以调用API对服务端的资源进行修改和删除。

今天我们就来探讨一下如何结合Web API来限制资源的访问。

本文的主要内容如下：

介绍传统的Web应用和基于REST服务的Web应用

介绍OAuth认证流程和密码模式

创建一个基于ASP. Identity的Web API应用程序

基于$.ajax实现OAuth的注册、登录、注销和API调用

基于vue-resource实现OAuth的注册、登录、注销和API调用

本文的最终示例是结合上一篇的CURD，本文的登录、注册、注销和API调用功能实现的。

35

本文9个示例的源码已放到GitHub，如果您觉得本篇内容不错，请点个赞，或在GitHub上加个星星！

Page Demo GitHub Source

基于$.ajax的示例如下：

注册示例 登录和注销示例 登录获取token并调用API示例 注册、登录、注销、调用API综合示例

基于vue-resource的示例如下：

注册示例 登录和注销示例 登录获取token并调用API示例 注册、登录、注销、调用API综合示例

OAuth介绍

传统的Web应用

在传统的Web应用程序中，前后端是放在一个站点下的，我们可以通过会话（Session）来保存用户的信息。

例如：一个简单的ASP. MVC应用程序，用户登录成功后，我们将用户的ID记录在Session中，假设为Session["UserID"]。

前端发送ajax请求时，如果这个请求要求已登录的用户才能访问，我们只需在后台Controller中验证Session["UserID"]是否为空，就可以判断用户是否已经登录了。

这也是传统的Web应用能够逃避面向无连接的方法。

基于REST服务的Web应用

当今很多应用，客户端和服务端是分离的，服务端是基于REST风格构建的一套Service，客户端是第三方的Web应用，客户端通过跨域的ajax请求获取REST服务的资源。

然而REST Service通常是被设计为无状态的（Stateless），这意味着我们不能依赖于Session来保存用户信息，也不能使用Session["UserID"]这种方式确定用户身份。

解决这个问题的方法是什么呢？常规的方法是使用OAuth 2.0。

对于用户相关的OpenAPI，为了保护用户数据的安全和隐私，第三方Web应用访问用户数据前都需要显式的向用户征求授权。

相比于OAuth 1.0，OAuth 2.0的认证流程更加简单。

专用名词介绍

在了解OAuth 2.0之前，我们先了解几个名词：

Resource：资源，和REST中的资源概念一致，有些资源是访问受保护的

Resource Server：存放资源的服务器

Resource Owner：资源所有者，本文中又称为用户(user)

User Agent：用户代理，即浏览器

Client： 访问资源的客户端，也就是应用程序

Authorization Server：认证服务器，用于给Client提供访问令牌的服务器

Access Token：访问资源的令牌，由Authorization Server器授予，Client访问Resource时，需提供Access Token

Bearer Token：Bearer Token是Access Token的一种，另一种是Mac Token。

Bearer Token的使用格式为：Bearer XXXXXXXX

Token的类型请参考：s://tools.ietf/html/draft-ietf-oauth-v2-15#section-7.1

有时候认证服务器和资源服务器可以是一台服务器，本文中的Web API示例正是这种运用场景。

OAuth认证流程

在知道这几个词以后，我们用这几个名词来编个故事。

简化版本

这个故事的简化版本是：用户(Resource Owner)访问资源(Resource)。

image

具体版本

简化版的故事只有一个结果，下面是这个故事的具体版本：

用户通过浏览器打开客户端后，客户端要求用户给予授权。

客户端可以直接将授权请求发给用户（如图所示），或者发送给一个中间媒介，比如认证服务器。

用户同意给予客户端授权，客户端收到用户的授权。

授权模式(Grant Type)取决于客户端使用的模式，以及认证服务器所支持的模式。

客户端提供身份信息，然后向认证服务器发送请求，申请访问令牌

认证服务器验证客户端提供的身份信息，如果验证通过，则向客户端发放令牌

客户端使用访问令牌，向资源服务器请求受保护的资源

资源服务器验证访问令牌，如果有效，则向客户端开放资源

image

以上几个步骤，(B)是较为关键的一个，即用户怎么样才能给客户端授权。有了这个授权以后，客户端就可以获取令牌，进而通过临牌获取资源。这也是OAuth 2.0的运行流程，详情请参考：s://tools.ietf/html/draft-ietf-oauth-v2-15#section-1.2

客户端的授权模式

客户端必须得到用户的授权（authorization grant），才能获得令牌（access token）。

OAuth 2.0定义了四种授权方式：

授权码模式（authorization code）

简化模式（implicit）

密码模式（resource owner password credentials）

客户端模式（client credentials）

本文的示例是基于密码模式的，我就只简单介绍这种模式，其他3我就不介绍了，大家有兴趣可以看阮大的文章：

://http://www.yingtaow.com/sitemap.html?blog/2014/05/oauth_2_0.html

密码模式

密码模式（Resource Owner Password Credentials Grant）中，用户向客户端提供自己的用户名和密码。客户端使用这些信息，向服务端申请授权。

在这种模式中，用户必须把自己的密码给客户端，但是客户端不得储存密码。这通常用在用户对客户端高度信任的情况下，比如客户端是操作系统的一部分，或者由一个着名公司出品。

image

密码嘛事的执行步骤如下：

（A）用户向客户端提供用户名和密码。

（B）客户端将用户名和密码发给认证服务器，向后者请求令牌。

（C）认证服务器确认无误后，向客户端提供访问令牌。

(B)步骤中，客户端发出的请求，包含以下参数：

grant_type：表示授权类型，此处的值固定为"password"，必选项。

username：表示用户名，必选项。

password：表示用户的密码，必选项。

scope：表示权限范围，可选项。

注意：在后面的客户端示例中，除了提供username和password，grant_type也是必须指定为"password"，否则无法获取服务端的授权。

服务端环境准备

如果您是前端开发人员，并且未接触过ASP. Web API，可以跳过此段落。

image

Authentication选择Indivial User Accounts

image

创建这个Web API工程时，VS会自动引入Owin和Asp.Identity相关的库。

image

修改ValuesController，除了IEnumerable<string> Get()操作外，其他操作都删除，并为该操作应用[Authorize]特性，这表示客户端必须通过身份验证后才能调用该操作。

public class ValuesController : ApiController

{

// GET: api/Values

[Authorize]

public IEnumerable<string> Get()

{

return new string[] { "value1", "value2" };

}

}

添加Model, Controller

image

image

image

初始化数据库

image

执行以下3个命令

image

image

执行以下SQL语句：

显示代码

CustomersController类有5个Action，除了2个GET请求外，其他3个请求分别是POST, PUT和DELETE。

为这3个请求添加[Authorize]特性，这3个请求必须通过身份验证才能访问。

隐藏代码

public class CustomersController : ApiController

{

private ApplicationDbContext db = new ApplicationDbContext();

// GET: api/Customers

public IQueryable<Customer> GetCustomers()

{

return db.Customers;

}

// GET: api/Customers/5

[ResponseType(typeof(Customer))]

public async Task<IActionResult> GetCustomer(int id)

{

Customer customer = await db.Customers.FindAsync(id);

if (customer == null)

{

return NotFound();

}

return Ok(customer);

}

// PUT: api/Customers/5

[Authorize]

[ResponseType(typeof(void))]

public async Task<IActionResult> PutCustomer(int id, Customer customer)

{

// ...

}

// POST: api/Customers

[Authorize]

[ResponseType(typeof(Customer))]

public async Task<IActionResult> PostCustomer(Customer customer)

{

// ...

}

// DELETE: api/Customers/5

[ResponseType(typeof(Customer))]

[Authorize]

public async Task<IActionResult> DeleteCustomer(int id)

{

// ...

}

}

让Web API以CamelCase输出JSON

在Global.asax文件中添加以下几行代码：

var formatters = GlobalConfiguration.Configuration.Formatters;

var jsonFormatter = formatters.JsonFormatter;

var settings = jsonFormatter.SerializerSettings;

settings.Formatting = Formatting.Indented;

settings.ContractResolver = new ();

启用CORS

在Nuget Package Manager Console输入以下命令:

Install-Package Microsoft.Asp.WebApi.Cors

在WebApiConfig中启用CORS：

public static class WebApiConfig

{

public static void Register(Configuration config)

{

var cors = new EnableCorsAttribute("*", "*", "*");

config.EnableCors(cors);

// ...

}

}

类说明

在执行上述步骤时，VS已经帮我们生成好了一些类

image

IdentityModels.cs：包含ApplicationDbContext类和ApplicationUser类，无需再创建DbContext类

public class ApplicationUser : IdentityUser

{

// ...

}

public class ApplicationDbContext : IdentityDbContext<ApplicationUser>

{

// ...

}

Startup.Auth.cs：用于配置OAuth的一些属性。

public partial class Startup

{

public static OAuthOptions { get; private set; }

public static string PublicClientId { get; private set; }

// For more information on configuring authentication, please visit ://go.microsoft./fwlink/?LinkId=301864

public void ConfigureAuth(IAppBuilder app)

{

// ..

// Configure the application for OAuth based flow

PublicClientId = "self";

OAuthOptions = new

{

TokenEndpointPath = new PathString("/Token"),

Provider = new ApplicationOAuthProvider(PublicClientId),

AuthorizeEndpointPath = new PathString("/api/Account/ExternalLogin"),

AccessTokenExpireTimeSpan = TimeSpan.FromDays(14),

// In proction mode set AllowInsecure = false

AllowInsecure = true

};

// Enable the application to use bearer tokens to authenticate users

app.UseOAuthBearerTokens(OAuthOptions);

// ..

}

}

这些OAuth配置项，我们只用关注其中的两项：

TokenEndpointPath：表示客户端发送验证请求的地址，例如：Web API的站点为www.example.，验证请求的地址则为www.example./token。

UseOAuthBearerTokens：使用Bearer类型的token_type（令牌类型）。

ApplicationOAuthProvider.cs：默认的OAuthProvider实现，GrantResourceOwnerCredentials方法用于验证用户身份信息，并返回access_token（访问令牌）。

public override async Task GrantResourceOwnerCredentials( context)

{

// ...

}

通俗地讲，客户端输入用户名、密码，点击登录后，会发起请求到www.example./token。

token这个请求在服务端执行的验证方法是什么呢？正是GrantResourceOwnerCredentials方法。

客户端发起验证请求时，必然是跨域的，token这个请求不属于任何ApiController的Action，而在WebApiConfig.cs中启用全局的CORS，只对ApiController有效，对token请求是不起作用的。

所以还需要在GrantResourceOwnerCredentials方法中添加一行代码：

public override async Task GrantResourceOwnerCredentials( context)

{

context.Response.Headers.Add("Access-Control-Allow-Origin", new []{"*"});

// ...

}

IdentityConfig.cs：配置用户名和密码的复杂度，主要用于用户注册时。例如：不允许用户名为纯字母和数字的组合，密码长度至少为6位…。

隐藏代码

public static ApplicationUserManager Create(IdentityFactoryOptions<ApplicationUserManager> options, IOwinContext context)

{

var manager = new ApplicationUserManager(new UserStore<ApplicationUser>(context.Get<ApplicationDbContext>()));

// Configure validation logic for usernames

manager.UserValidator = new UserValidator<ApplicationUser>(manager)

{

= false,

RequireUniqueEmail = true

};

// Configure validation logic for passwords

manager.PasswordValidator = new PasswordValidator

{

RequiredLength = 6,

RequireNonLetterOrDigit = true,

RequireDigit = true,

RequireLowercase = true,

RequireUppercase = true,

};

// ...

return manager;

}

使用Postman测试GET和POST请求

测试GET请求

image

GET请求测试成功，可以获取到JSON数据。

测试POST请求

image

POST请求测试不通过，提示：验证不通过，请求被拒绝。

基于$.ajax实现注册、登录、注销和API调用

服务端的环境已经准备好了，现在我们就逐个实现用户注册、登录，以及API调用功能吧。

注册

页面的HTML代码如下：

<div id="app">

<div class="container">

<span id="message">{{ msg }}</span>

</div>

<div class="container">

<div class="form-group">

<label>电子邮箱</label>

<input type="text" v-model="registerModel.email" />

</div>

<div class="form-group">

<label>密码</label>

<input type="text" v-model="registerModel.password" />

</div>

<div class="form-group">

<label>确认密码</label>

<input type="text" v-model="registerModel.confirmPassword" />

</div>

<div class="form-group">

<label></label>

<button @click="register">注册</button>

</div>

</div>

</div>

创建Vue实例，然后基于$.ajax发送用户注册请求：

var demo = new Vue({

el: '#app',

data: {

registerUrl: '://localhost:10648/api/Account/Register',

registerModel: {

email: '',

password: '',

confirmPassword: ''

},

msg: ''

},

methods: {

register: function() {

var vm = this

vm.msg = ''

$.ajax({

url: vm.registerUrl,

type: 'POST',

dataType: 'json',

data: vm.registerModel,

success: function() {

vm.msg = '注册成功！'

},

error: vm.requestError

})

},

requestError: function(xhr, errorType, error) {

‘肆’ 跨域的appid和appsecret怎么存数据库

• 生成规则一般是自定义的。其实怎么做都是可以的。为了安全可以考虑加密。
  举个简单的例子。你可以用appid,appsecred分别用MD5加密，生成2个字符串，然后分别取2个字符串的后6位字符串，链接在一起组成一个12位的字符串。这个字符串就可以作为Token.存储到数据库。
  当用户请求的时候，会传入appid,appsecred2个参数，以同样的方式加密组合，然后同数据库中的字符串对比，一样就通过。
  
  加密的方法有很多，比如转大写，转小写，追加特殊字符，然后加密。除非别人知道你的加密规则，不然破解不了，因为，你的token不是完整密文，他破解不了。
  

‘伍’ sql server2005 数据库 怎样跨域查询

以下语句是否可以帮助到你：
SELECT * FROM OPENDATASOURCE('SQLOLEDB',
'Data Source=XXX;User ID=sa;Password=YYY'
).databasename.dbo.tablename

XXX：输入你要访问的sql server 2005的实例名或者该服务所在的ip地址。
YYY：输入sa用户的密码；
databasename：替换为你要访问的数据库名称
tablename：替换为你要访问的这个数据库里的一个表或者视图名称
注意：以上变量输入都不需要带“”，直接输入即可。

good luck！

‘陆’ ssm+vue跨域处理

写个简单的吧
a.php
<form method="post" action="b.php">
<input type="text" name="test" value="">这是你要提交的数据
<input type="submit" value="提交">
</form>
点击提交按钮就跳到b页面了
b.php
echo $_POST['test']；
打印a提交过来的数据，如果有数据你就自己写sql语句存入数据库就好了

‘柒’ web.config 跨域问题

一、认识Web.config文件

Web.config文件是一个XML文本文件，它用来储存 ASP.NET Web 应用程序的配置信息（如最常用的设置ASP.NET Web 应用程序的身份验证方式），它可以出现在应用程序的每一个目录中。当你通过VB.NET新建一个Web应用程序后，默认情况下会在根目录自动创建一个默认的
Web.config文件，包括默认的配置设置，所有的子目录都继承它的配置设置。如果你想修改子目录的配置设置，你可以在该子目录下新建一个Web.config文件。它可以提供除从父目录继承的配置信息以外的配置信息，也可以重写或修改父目录中定义的设置。

在运行时对Web.config文件的修改不需要重启服务就可以生效（注：＜processModel＞ 节例外）。当然Web.config文件是可以扩展的。你可以自定义新配置参数并编写配置节处理程序以对它们进行处理。

二、web.config配置文件（默认的配置设置）以下所有的代码都应该位于

＜configuration＞
＜system.web＞

和

＜/system.web＞
＜/configuration＞

之间，出于学习的目的下面的示例都省略了这段XML标记

1、＜authentication＞ 节

作用：配置 ASP.NET 身份验证支持（为Windows、Forms、PassPort、None四种）。该元素只能在计算机、站点或应用程序级别声明。＜authentication＞ 元素必需与＜authorization＞ 节配合使用。

示例：

以下示例为基于窗体（Forms）的身份验证配置站点，当没有登陆的用户访问需要身份验证的网页，网页自动跳转到登陆网页。

＜authentication mode="Forms" ＞
＜forms loginUrl="logon.aspx" name=".FormsAuthCookie"/＞

＜/authentication＞

其中元素loginUrl表示登陆网页的名称，name表示Cookie名称

2、＜authorization＞ 节

作用：控制对 URL 资源的客户端访问（如允许匿名用户访问）。此元素可以在任何级别（计算机、站点、应用程序、子目录或页）上声明。必需与＜authentication＞ 节配合使用。

示例：以下示例禁止匿名用户的访问

＜authorization＞
＜deny users="?"/＞
＜/authorization＞

注：你可以使用user.identity.name来获取已经过验证的当前的用户名；可以使用
web.Security.FormsAuthentication.RedirectFromLoginPage方法将已验证的用户重定向到用户刚才请求的页面.具体的实例请参考:

Forms验证 http://www.fanvb.net/websample/dataauth.aspx

3、＜compilation＞节

作用：配置 ASP.NET 使用的所有编译设置。默认的debug属性为“True”.在程序编译完成交付使用之后应将其设为True（Web.config文件中有详细说明，此处省略示例）

4、＜customErrors＞

作用：为 ASP.NET 应用程序提供有关自定义错误信息的信息。它不适用于 XML Web services 中发生的错误。

示例：当发生错误时，将网页跳转到自定义的错误页面。

＜customErrors defaultRedirect="ErrorPage.aspx" mode="RemoteOnly"＞
＜/customErrors＞

其中元素defaultRedirect表示自定义的错误网页的名称。mode元素表示：对不在本地 Web 服务器上运行的用户显示自定义(友好的)信息。

5、＜httpRuntime＞节

作用：配置 ASP.NET HTTP 运行库设置。该节可以在计算机、站点、应用程序和子目录级别声明。

示例：控制用户上传文件最大为4M，最长时间为60秒，最多请求数为100

＜httpRuntime maxRequestLength="4096" executionTimeout="60" appRequestQueueLimit="100"/＞

6、 ＜pages＞

作用：标识特定于页的配置设置（如是否启用会话状态、视图状态，是否检测用户的输入等）。＜pages＞可以在计算机、站点、应用程序和子目录级别声明。

示例：不检测用户在浏览器输入的内容中是否存在潜在的危险数据（注：该项默认是检测，如果你使用了不检测，一要对用户的输入进行编码或验证)，在从客户端回发页时将检查加密的视图状态，以验证视图状态是否已在客户端被篡改。(注：该项默认是不验证）

＜pages buffer="true" enableViewStateMac="true" validateRequest="false"/＞

7、＜sessionState＞

作用：为当前应用程序配置会话状态设置（如设置是否启用会话状态，会话状态保存位置）。

示例：

＜sessionState mode="InProc" cookieless="true" timeout="20"/＞
＜/sessionState＞

注：

mode="InProc"表示：在本地储存会话状态（你也可以选择储存在远程服务器或SAL服务器中或不启用会话状态）

cookieless="true"表示：如果用户浏览器不支持Cookie时启用会话状态(默认为False）

timeout="20"表示：会话可以处于空闲状态的分钟数

8、＜trace＞

作用：配置 ASP.NET 跟踪服务，主要用来程序测试判断哪里出错。

示例：以下为Web.config中的默认配置：

＜trace enabled="false" requestLimit="10" pageOutput="false" traceMode="SortByTime" localOnly="true" /＞

注：

enabled="false"表示不启用跟踪；requestLimit="10"表示指定在服务器上存储的跟踪请求的数目

pageOutput="false"表示只能通过跟踪实用工具访问跟踪输出；

traceMode="SortByTime"表示以处理跟踪的顺序来显示跟踪信息

localOnly="true" 表示跟踪查看器 (trace.axd) 只用于宿主 Web 服务器

三、自定义Web.config文件配置节

自定义Web.config文件配置节过程分为两步。

一是在在配置文件顶部 ＜configSections＞ 和 ＜/configSections＞标记之间声明配置节的名称和处理该节中配置数据的 .NET Framework 类的名称。

二是在 ＜configSections＞ 区域之后为声明的节做实际的配置设置。

示例：创建一个节存储数据库连接字符串

＜configuration＞
＜configSections＞
＜section name="appSettings" type="System.Configuration.NameValueFileSectionHandler, System, Version=1.0.3300.0, Culture=neutral, PublicKeyToken=b77a5c561934e089"/＞
＜/configSections＞

＜appSettings＞
＜add key="scon" value="server=a;database=northwind;uid=sa;pwd=123"/＞
＜/appSettings＞

＜system.web＞
......
＜/system.web＞
＜/configuration＞

四、访问Web.config文件

你可以通过使用ConfigurationSettings.AppSettings 静态字符串集合来访问 Web.config 文件示例：获取上面例子中建立的连接字符串。

Dim sconstr As String = ConfigurationSettings.AppSettings("SconStr")
Dim scon = New SqlConnection(sconstr)

‘捌’ 关于跨域的问题

一、在前端开发过程中，如果准备开发富应用，跨域的问题将会随之而来。

        我们先看看什么是跨域呢：

         所谓跨域，或者异源，是指主机名（域名）、协议、端口号只要有其一不同，就为不同的域（或源） 。出于保护用户数据的目的，浏览器有一个最基本的策略就是同源策略，只允许页面内的脚本访问当前域的资源（加载脚本、资源等不受此限制）。

二、如果浏览器厂商不对跨域请求进行处理，会给我们带来什么危害呢？

        有心人士（病毒制造者）会利用这个漏洞进行如下攻击：

        1. CSRF/XSRF 攻击 ，简单的来讲就是在 b.com 页面中请求 a.com 的接口（浏览器会自动带上 用户在 a.com 的 cookie），从而获取用户的在 a.com 的相关信息。

        2. XSS 注入攻击 ，类似于 SQL 攻击，提交含有恶意脚本的数据到服务器，从而达到破坏页面或者获取用户的 cookie。

三、我们了解到了什么是跨域，那我们又应该如何解决呢，现在找到了这些比较权威的文章，大家先品读一下：

        1. mozilla 官方网站关于跨域的文章（Cross Origin）， HTTP访问控制（CORS）

        2. mozilla 官方网站关于浏览器同源策略的简要介绍（Same Origin），  浏览器的同源策略

四、读完这些文章，你打算怎么处理跨域问题呢，我先谈谈自己关于跨域的解决方案：

        1. 采用 CORS 协议，直接在 Nginx 中设置允许跨域的 header（也可以在后端的应用程序内设置，不过在 Nginx 入口配置的话更加统一），在 location 配置中直接使用指令 add_header（ 官方文档链接 ），示例配置如下：

        2. 使用 JSONP，也是需要后端配合，利用“浏览器加载脚本、资源时不受同源策略的约束”这个特性，但是这种方式非常受限制，例如只能使用 GET 请求，不能携带自定义 header 等。

        3. 其他的一些方法，例如 window.name, document.domain 以及 HTML5 中的特性 window.postMessage 等

五、其他参考链接

        1.  浅谈JS跨域问题

        2. 跨域资源共享 CORS 详解----阮一峰

六、声明

        现在网络上的知识非常复杂，有些是摘自权威书籍的，有些是作者自己理解然后记录下来的，有些是瞎掰的，所以一定要结合情况多多甄别，对于有权威文档的知识点，建议先参考文档。

‘玖’ 求大神讲讲web安全，nodejs怎么防止跨域攻击和sql注入

是CSRF(Cross-site request forgery) 不是你写的那个!
跨域不用担心.主流浏览器都会帮你做防御的. 问题不大,主要是你自己别给其他域的权限即可.非必要的话,以最小权限原则.
xss主要就是过滤输入输出.如果业务很多,还是找人审计代码吧.或者用比较成熟的模块.CSRF的话,1,验证来源 2加随机token之类的.
sqli主要还是过滤输入的地方.过滤/转义关键字比如select,and,or等等(有专门的防注入模块).觉得怕麻烦的话.用那些云主机的防御功能.再加个cdn基本就没事了.(对于一般的反射型跨站也适用)

‘拾’ 两套网站程序能否用一个数据库

可以实现，不过要区别数据库中的表

比如说：
数据库有用户表：一站：user，另外一站就要区分，不能用user。如果要用的话，就要保证这两表的结构要一样！否则错误！