Cors XmlHttpRequest和Response

Question

任务描述

我正在创建一个带有客户端/服务器架构的程序。服务器是在用户的浏览器中运行的javascript脚本，客户端是在用户的本地计算机上运行的应用程序。该脚本将一个GET请求发布到127.0.0.1上的端口;例如2000年。客户端读取消息，执行某些操作，并将回复发回服务器。

问题描述

这种类型的交互被认为是跨源资源共享。我已阅读材料here并编写了我的程序，以便使用适当的cors标头消息来响应请求。不幸的是，我似乎收到了错误消息：

XMLHttpRequest cannot load http://127.0.0.1:2000/?Command=test&Parameters=1234. Origin http://127.0.0.1 is not allowed by Access-Control-Allow-Origin.

完整的Http Exchange

GET /?Command=test&Parameters=1234 HTTP/1.1
Host: 127.0.0.1:2000
Connection: keep-alive
Origin: http://127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/535.11 (KHTML, like Geco) Chrome/17.0.963.79 Safari/535.11
Accept: */*
Referer: http://127.0.0.1/test/main.php
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.3


HTTP/1.1 200 OK
Server: Custom-Gnat-Client-v1.0
Access-Control-Allow-Origin: *
Origin: http://127.0.0.1
Content-Length: 12
Keep-Alive: timeout=2, max=100
Connection: Keep-Alive
Content-Type: text/plain


Success

相关代码

在main.js中：

var Is_IE                = window.XDomainRequest ? true : false;
var Cross_Domain_xmlhttp = Create_Cross_Domain_Request();

function Create_Cross_Domain_Request(){
  var request;
  if(Is_IE)
    request = new window.XDomainRequest();
  else{
    if(window.XMLHttpRequest){
      request=new XMLHttpRequest();
    } else {
      request=new ActiveXObject("Microsoft.XMLHTTP");
    }
  }
  return request;
}

...

var URL = "http://127.0.0.1:2000/"+"?Command="+Command_String+"&Parameters=" +Parameters;
if (Cross_Domain_xmlhttp){
  if(Is_IE){
    Cross_Domain_xmlhttp.onload=function(){
      console.log(Cross_Domain_xmlhttp.responseText);
    }
    Cross_Domain_xmlhttp.open("GET", URL, true);
    Cross_Domain_xmlhttp.send();
  } else {
    Cross_Domain_xmlhttp.open('GET', URL, true);
    Cross_Domain_xmlhttp.onreadystatechange=function(){
      if (Cross_Domain_xmlhttp.readyState==4 && Cross_Domain_xmlhttp.status==200){
        console.log(Cross_Domain_xmlhttp.responseText);
      }
    }
    Cross_Domain_xmlhttp.send();
  }
} else {
  alert("The browser does not support XDomainRequest or XmlHttpRequest");
}

客户端代码目前不相关，但我会在要求时发布。

Answer 1

服务器响应中不应该有Origin: http://127.0.0.1，因为它是请求标头。

为什么不返回Access-Control-Allow-Origin: http://127.0.0.1而不是*？