Chia sẻ tài nguyên tên miền chéo GET: 'từ chối nhận tiêu đề không an toàn "etag"' từ Phản hồi

Question

Yêu cầu GET đơn giản không có tiêu đề tùy chỉnh. Phản hồi được trả về như mong đợi. Dữ liệu trong cơ thể có thể truy cập được, nhưng không truy cập được vào phần đầu.

Khi tôi cố gắng truy cập vào "etag" tiêu đề, trình duyệt nâng cao một ngoại lệ:

từ chối để có được an toàn tiêu đề "etag"

Chrome, Safari và Firefox tất cả cư xử như vậy. Tôi đã không kiểm tra nó trên IE.

Tôi thiếu gì ở đây?

Answer 1

tiêu đề phản ứng Chỉ đơn giản được tiếp xúc khi sử dụng CORS. Các tiêu đề phản hồi đơn giản được xác định here. ETag không phải là tiêu đề phản hồi đơn giản. Nếu bạn muốn để lộ tiêu đề không đơn giản, bạn cần phải thiết lập các Access-Control-Expose-Headers tiêu đề, như vậy:

Access-Control-Expose-Headers: ETag 

Tuy nhiên, lưu ý rằng tôi đã nhận thấy lỗi trong Chrome, Safari và Firefox mà ngăn chặn tiêu đề không đơn giản từ được tiếp xúc chính xác. Điều này có thể được sửa chữa bởi bây giờ, tôi không chắc chắn.

Bạn không nên cần phải làm một yêu cầu preflight, vì preflight chỉ được yêu cầu cho phi GET/POST phương pháp http hoặc không đơn giản yêu cầu header (và bạn đang hỏi về phản ứng tiêu đề).

Answer 2

Bạn đã bao giờ cố gắng AJAX 2.0 (Cross miền chia sẻ) là một phương pháp khá gần đây đưa ra bởi W3C: http://www.w3.org/TR/XMLHttpRequest2/#ref-cors

Cũng có một cách khác để làm điều này, được gọi là JSON-P, nó giống như một JSON yêu cầu, nhưng bạn có thể sử dụng nó cho các tên miền chéo: http://en.wikipedia.org/wiki/JSONP

Cả hai đều có thể rất nguy hiểm cho chủ sở hữu trang web nếu không được thiết lập chính xác. Vì vậy, hãy cẩn thận khi sử dụng nó.

[PS] Không chắc chắn nếu điều này sẽ giúp: http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html