尽管来源相同，XMLHttpRequest响应访问被拒绝

XMLHttpRequest response access denied despite same-origin

本文关键字：响应 XMLHttpRequest 访问 拒绝      更新时间：2023-09-26

响应为JSON

Edge：有时会将响应属性值短暂插入DOM，然后将其删除，有时会记录错误"SCRIPT5:拒绝访问"（表示CORS），从调试器完全可以访问响应，请求显示在网络选项卡中

Chrome：响应为空字符串，请求未显示在网络选项卡中，没有控制台消息

Firefox：使用JSON.parse（）中的响应，在断点行上出现控制台错误"response"畸形JSON"，因此在使用之前，请求未显示在网络选项卡、Firebug和集成中

JS（仅限当前浏览器）：

var session = "";
var request;
function checkLogin()
{
    if(request.readyState > 3)
    {
        var response = JSON.parse(request.response);
        if(verify(response))  // verify inserts argument property "error" in DOM on error via innerHTML on element
        {
            // do something
        }
    }
}
function login()
{
    request = new XMLHttpRequest();
    request.onreadystatechange = checkLogin;
    request.open("GET", "authenticateUser.php?user=" + document.getElementById("user").value + "&credential="+md5(document.getElementById("password").value));
    request.send();
}

来自网络选项卡的边缘请求：

Anforderungs-URL: http://*MYDOMAIN*/authenticateUser.php?user=df&credential=d41d8cd98f00b204e9800998ecf8427e
Anforderungsmethode: GET
Statuscode: 200 / OK
 - Anforderungsheader
Accept: */*
Accept-Encoding: gzip, deflate
Accept-Language: de-DE, de; q=0.8, en-US; q=0.5, en; q=0.3
Connection: Keep-Alive
Host: *MYDOMAIN*
Referer: http://*MYDOMAIN*/
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2486.0 Safari/537.36 Edge/13.10586
 - Antwortheader
Connection: Keep-Alive
Content-Length: 65
Content-Type: application/json
Date: Sat, 21 Nov 2015 07:42:17 GMT
Keep-Alive: timeout=15, max=94
Server: Apache
X-Powered-By: PHP/5.5.29

响应：

{"success":false,"error":"authentication failed or unauthorised"}

是什么让php的响应可以在JS代码中使用（在Chrome和Firefox中），并且它的属性值可以插入DOM？

login()是onsubmit的处理程序。我没有return false；因此，用户和pw来自的表单（没有任何操作）提交到自己的页面，并让浏览器重新加载页面：在Chrome和Ff中取消请求。只有Edge让相等的页面JS处理来自前一个加载请求的repsonse，直到它被插入。

我花了6个小时绕过JSONP和Charles，然后列出了请求后页面本身出现的Chrome的网络流量，从而让我有了页面"重新加载"的想法，并最终记住了onsubmit处理程序取消了提交，返回false，否则提交会导致加载操作（或self，如果没有），这就是这里发生的情况。

相关文章：