Способы обойти того же происхождения политики

The document.domain метод

• метод типа: iframe.

обратите внимание, что это метод iframe, который устанавливает значение документа.домен к суффиксу текущего домена. Если это так, то более короткий домен используется для последующих проверок происхождения. Например, предположим, что сценарий в документе по адресу http://store.company.com/dir/other.html выполняет следующую инструкцию:

document.domain = "company.com";

после выполнения этого оператора страница пройдет проверку происхождения с http://company.com/dir/page.html. Однако, по тем же соображениям, company.com не удалось установить document.domain до othercompany.com.

С помощью этого метода вам будет разрешено выполнять javascript из iframe, полученного в поддомене на странице, полученной в основном домене. Этот метод не подходит для междоменных ресурсов, так как браузеры, такие как Firefox, не позволят вам изменить document.domain совершенно чужой домен.

источник: https://developer.mozilla.org/en/Same_origin_policy_for_JavaScript

метод совместного использования ресурсов перекрестного происхождения

• метод типа: AJAX.

Кросс-Происхождения Совместное Использование Ресурсов (CORS) - это рабочий проект W3C, который определяет, как браузер и сервер должны взаимодействовать при доступе к источникам через origins. Основная идея CORS заключается в использовании пользовательских заголовков HTTP, чтобы разрешить оба браузера и сервер должен знать достаточно друг о друге, чтобы определить, должен ли запрос или ответ быть успешным или неудачным.

для простого запроса, который использует GET или POST без пользовательских заголовков и чье тело text/plain, запрос отправляется с дополнительным заголовком под названием Origin. Заголовок Origin содержит источник (протокол, доменное имя и порт) запрашивающей страницы, чтобы сервер мог легко определить, должен ли он обслуживать ответ. Образец Origin заголовок может выглядеть так:

Origin: http://www.stackoverflow.com

если сервер решает, что запрос должен быть разрешен, передает Access-Control-Allow-Origin заголовок, отражающий тот же источник, который был отправлен или * если это общественный ресурс. Например:

Access-Control-Allow-Origin: http://www.stackoverflow.com

если этот заголовок отсутствует или исходные данные не совпадают, то браузер отклоняет запрос. Если все хорошо, то браузер обрабатывает запрос. Обратите внимание, что ни запросы, ни ответы не включают cookie информация.

команда Mozilla предлагает в их пост о CORS что вы должны проверить на наличие withCredentials свойство, чтобы определить, поддерживает ли браузер CORS через XHR. Затем вы можете сочетаться с существованием XDomainRequest объект для покрытия всех браузерах:

function createCORSRequest(method, url){
    var xhr = new XMLHttpRequest();
    if ("withCredentials" in xhr){
        xhr.open(method, url, true);
    } else if (typeof XDomainRequest != "undefined"){
        xhr = new XDomainRequest();
        xhr.open(method, url);
    } else {
        xhr = null;
    }
    return xhr;
}

var request = createCORSRequest("get", "http://www.stackoverflow.com/");
if (request){
    request.onload = function() {
        // ...
    };
    request.onreadystatechange = handler;
    request.send();
}

обратите внимание, что для работы метода CORS вам нужно иметь доступ к любому типу механика заголовка сервера и не может просто получить доступ к какой-либо третьей стороне ресурс.

источник: http://www.nczonline.net/blog/2010/05/25/cross-domain-ajax-with-cross-origin-resource-sharing/

The window.postMessage метод

• метод типа: iframe.

window.postMessage, при вызове, вызывает a MessageEvent для отправки в целевом окне, когда любой ожидающий сценарий, который должен быть выполнен, завершается (например, оставшиеся обработчики событий, если window.postMessage вызывается из события обработчик, ранее установленные отложенные таймауты и т. д.). Элемент MessageEvent сообщение типа data свойство, которое устанавливается в строковое значение первого аргумента, предоставленной window.postMessage, либо origin свойство, соответствующее происхождению основного документа в окне вызова window.postMessage во время window.postMessage назывался, и source свойство, которое является окном, из которого window.postMessage называется.

использовать window.postMessage, прослушиватель событий должен быть прилагается:

    // Internet Explorer
    window.attachEvent('onmessage',receiveMessage);

    // Opera/Mozilla/Webkit
    window.addEventListener("message", receiveMessage, false);

и