post 跨域问题。这次我绕不开了

[yangkeao]

想要使用多说的api，好像发表评论必须要post

这就面临跨域问题。

多说给的通用代码是如何解决这个问题的？我应该怎么办？


同步异步都可以，这个没关系。

[cbsw]

用多说不就调用给的那段脚本就行了吗，站点静态的都行，应该不需要自己处理跨域问题

[yangkeao]

@cbsw 那段脚本使用时限制多多（比如不支持匿名评论），，想要自己写个，怎么处理？

而且想知道那个脚本是怎么跨域的。

[cbsw]

@yangkeao 这里不就可以匿名吗 http://dev.duoshuo.com/threads/51ef7387d137f48920000084 话说你是要自己写一个多说吗？

[yangkeao]

@cbsw 难道API里面的匿名评论指的是 可以随便打个名字？？
还以为可以不输入名字。。。

尝试着用给的脚本，绕过本地对于输入名字的验证后提交，Bad Request。
所以我什么都懂了。。。。

那就算了吧。（我只是想用他的API，没有自己写一个的意思。）

[yangkeao]

@cbsw 那请问他的跨域是如何实现的呢？

[cbsw]

@yangkeao 匿名评论本身就会带来很大的问题：垃圾信息。一般的网站好像不会需要完全匿名不受限制的评论吧

[yangkeao]

@cbsw 嗯，好的。

官方脚本的跨域如何实现的呢？

[cbsw]

你是在用 django 吗，我曾经也对 django 的跨域问题比较纠结，规定表单 post 一定要加 csrf_token ，不过似乎可以通过 ajax 提交表单来绕开 django 对 post 表单的检查

[ysdj]

在服务端调用API啊

[belin520]

@ysdj 对，自己的服务器做一次中转

[txlty]

抓包看了一下，跨域的秘密就在这里：


多说API接口返回的HTTP头信息里允许跨域读取。
Access-Control-Allow-Origin 表示允许哪个域读取信息。这个是添加站点时指定的。

[yangkeao]

@txlty cors吗？为什么我访问提示没有标记？？

[txlty]

每个多说域名对应一个允许的站点域。

所以，调用API时调用添加站点时设置的多说域名，比如：
http://[你设置的多说域名].duoshuo.com/posts/create.json
而不是
http://api.duoshuo.com/posts/create.json

[yangkeao]

@txlty XMLHttpRequest cannot load http://api.duoshuo.com/posts/create.json. No 'Access-Control-Allow-Origin' header is present on the requested resource. Origin 'null' is therefore not allowed access.

[yangkeao]

@txlty 哦！！
那这样不方便测试呃。。。

[simonyan]

前端是jquery，后端是node js；http://blog.csdn.net/dabiaoyanjun/article/details/27569681

[yangkeao]

@txlty XMLHttpRequest cannot load http://videa.duoshuo.com/posts/create.json. No 'Access-Control-Allow-Origin' header is present on the requested resource. Origin 'http://idea.vdon.cn' is therefore not allowed access.

允许的站点域是设置里面的首页网址吗？

[txlty]

@yangkeao
试了一下，换域也可以。那就是读取的post请求时的referer。
读取不到，可能是你提交的参数错了，返回404了。

[emric]

//api.duoshuo.com/posts/create.jsonp
使用 jsonp, 详见文档~

[yangkeao]

@emric POST

[emric]

@yangkeao JSONP 只是跨越的一种方式, 同样是由 POST / GET 提交的...

[yangkeao]

@emric 一直以为jsonp只支持GET

[emric]

@yangkeao 唉, 这个我错了打错. JSONP 只是 GET, 跨越请求你为什么只用 POST?

[yangkeao]

@emric 多说的发表评论的API必须用post不是吗？

[yangkeao]

@txlty 十分感谢

抓包发现是http://[你设置的多说域名].duoshuo.com/api/posts/create.json

后来更正后，400.
发现是参数少了几个，只填了必选。有几个是没登录必填的，我没有，所以400了

[emric]

@yangkeao jsonp 亦可以提交, IE 6 使用的是这种方法~

[yangkeao]

@emric 哦

[reorx]

@cbsw 没用过多说不知道它具体怎么做，但跨域是 HTTP 协议上的东西，跟框架没有关系，现在无外乎两种方式: jsonp 和 CORS，后者请查看 mozilla 文档 https://developer.mozilla.org/en-US/docs/Web/HTTP/Access_control_CORS

你说的那个 csrf_token 是所谓的跨站请求伪造，为了给模拟登录和其他请求增加难度，和跨域不一样的。

[yangkeao]

@reorx 多说使用了CORS，之前我因为请求地址错误了的问题才没访问到。

[HunterPan]

jsonp?

[yangkeao]

@HunterPan 标题上已经说了post