问题标签 [cross-domain]

I've seen a lot of links to MSDN and "works on my machine!" answers so I'd like to ask my question with the exact steps to duplicate what I'm doing. Because we are using an already existing webservice, I'm asking with the context of having a webservice hosted outside of my project, unlike many of the tutorials and videos online. So here goes:

*** Create a new ASP.NET webservice project.

It will come with an existing Service.asmx file exposing a "HelloWorld" web method.

View in browser, hit the "Invoke" button. It should work returning the "Hello World" string.

On my machine, the URL is: "http://localhost:15511/WebSite5/Service.asmx"

*** Start a new instance of Visual Studio, create a Silverlight Web Application Project.

*** Stick a single button on there with an event handler to call the web service. I personally nuke the Grid and use a simple StackPanel. eg.

Add the web reference, using statement and event handler for the Button_Click:

• Run the Silverlight Application. In my case I'm going to my Silverlight Test Page at: http://localhost:15558/SilverlightApplication1TestPage.aspx

Run and of course it blows up because of crossdomain issues. So next add the clientaccesspolicy.xml file with the following to the root of your web application hosting the service:

This should open things up since it's got a wildcard for headers, uris, and resources, right?

• Run again and you get an error:

An error occurred while trying to make a request to URI 'http://localhost:15511/WebSite5/Service.asmx'. This could be due to attempting to access a service in a cross-domain way without a proper cross-domain policy in place, or a policy that is unsuitable for SOAP services. You may need to contact the owner of the service to publish a cross-domain policy file and to ensure it allows SOAP-related HTTP headers to be sent.

So question: is there a secret to the clientaccesspolicy file? One could alternately try with the crossdomain.xml but it gives a similar result.

如何打开“跨域安全”，以便页面上的 JavaScript 可以与 SWF 自由通信，即使它托管在另一个域上？

我确定这个函数通信在默认情况下被阻止，但是通过使用一个名为“crossdomain.xml”的文件和 actionscript 3 函数：system.Security.allowDomain("*")。不过，我并没有完全成功，而且我没有洞察力知道哪个是开放的。

在这种情况下，我是否需要考虑其他隐藏的安全层？

我是否通过执行此设置以某种方式为潜在的黑客开放了我的代码？

（如果您想知道：是的，我必须在一个场景中进行这项工作，其中 html 托管在一个域上，JavaScript 是从另一个域外部添加的，而 SWF 是由来自第三个域的 JavaScript 嵌入的- 不要问为什么，解释起来太复杂了 - 我也希望我可以将整个东西托管在一个域中）。

我可以创建一个表单并使用它向任何站点发出 POST 请求，事情是 FORM 方法不是异步的，我需要知道页面何时完成加载。我尝试使用内部带有表单的 iframe 来解决这个问题，但没有成功。

有任何想法吗？

编辑

不幸的是，我无法控制响应数据，它从 XML、json 到简单文本不等。

我正在使用 asp.net MVC 开发一个具有 ajax 交互的应用程序。我在控制器中有 JsonResult 方法返回我的 json 序列化数据。例如，当向http://somesite.com/findwidgets/发出请求时， mvc 将数据序列化为 json 并将其发送回。

我在客户端使用 jQuery 来处理 ajax 请求，然后操纵结果。我在获取数据时没有遇到任何问题，但我发现我可以从浏览器的地址栏向http://somesite.com/findwidgets/发出请求，它会将 json 数据作为下载返回。

另外，我如何确保其他人不能简单地使用http://somesite.com/findwidgets/发出请求和获取数据？

跨域是正确的主题还是与其他安全问题有关？

谢谢

我正在尝试编写一些 Javascript 来显示基于对不同域上服务器的 HTTP GET 请求的数据。根据我的阅读，由于 SOP（同源政策），这变得很棘手。

我很好奇 snap.com “快照”（网页预览）是如何工作的。这是一个示例页面： http: //premshree.livejournal.com/66129.html

有人可以解释这是怎么可能的吗？要启用 snap.com 的“快照”，您只需在标题中添加一些 Javascrpt。示例网页似乎违反了 SOP。

背景：最近在查看“结构化文本编辑器”时，我注意到他们使用了一个技巧来更改 python/perl/c++/java 等。通过将 XML 潜入相应语言的注释中，形成一个“结构化”大纲。

我记得曾经在 Windows bat 文件中看到过这个技巧。bat 文件的 REM 语句用于“隐藏”一些 perl 代码。

问题：您是否见过有人使用编程或标记语言的注释来嵌入完全不同语言的语法的实例？如果是，您能否提供该示例的链接或解释它是什么？

如果你还没有，这里有一个例子：

• 使用此技巧的编辑器文件格式示例。

问题：这种“技巧”是一个聪明有用的想法吗？如果是这样，你能列举一个你使用这个技巧的特殊实例吗？如果不是，你能描述为什么你认为这是一个坏主意吗？

目前，我们面临跨子域共享相同会话的问题。我们正在使用 Jboss 服务器。

用户访问与其区域设置相对应的站点，例如具有唯一域名的 en_US。对应于域创建一个 cookie。允许用户转到具有不同域名的其他语言环境。问题是为另一个域创建了一个新的 cookie，它丢失了存储在前一个会话中的信息。我们需要跨域使用相同的会话 cookie。

防爆域：sample.au sample.co.uk sample.us

我要求研究 Iframe/p3p 解决方案。我对这个概念很陌生。你能指导我如何实现这一目标。

提前致谢

许多下一代浏览器（FF 3.1、IE8）将以一种或其他方式支持跨域 XMLHttpRequest（只要服务器选择加入等，存在安全问题）。

WebKit 中也会有同样的功能吗？

FF：https ://developer.mozilla.org/en/Cross-Site_XMLHttpRequest

即：http : //blogs.msdn.com/ie/archive/2008/06/23/securing-cross-site-xmlhttprequest.aspx

我知道，有 JSONP，它涉及服务器合作来命名空间数据。

困扰我的是 script 标签的内容src被评估，但它不可读。

我们需要弄清楚的是如何命名数据，仅此而已。当然，我尝试了非常愚蠢的事情，但没有相关结果（我知道这不起作用，但你可以看到我想要实现的目标）：

由于确实没有关于如何src评估内容的相关信息，我知道它是全局范围，但是如果我们可以跟踪评估步骤或者可能以某种方式链接评估范围（也没有太多关于此的文档），我们可以解决这个烦人的“评估但不可读”的东西。

有任何想法吗？

我知道相关的安全风险并已将其与业务联系起来，但他们希望让他们的 5 个域共享登录 cookie。

我们正在使用并且没有计划停止使用 ASP.Net Membership and Profiles。这可能吗？一个黑客甚至会不胜感激。