JavaScript. Подробное руководство, 6-е издание, стр. 287

Хотя при наличии поддержки заголовка «CORS» не требуется предпринимать какие-то дополнительные шаги для выполнения междоменных запросов, тем не менее имеются некоторые детали, касающиеся безопасности, которые желательно понимать. Во-первых, при передаче имени пользователя и пароля методу

open()

объекта

XMLHttpRequest

они не будут передаваться в междоменных запросах (в противном случае это дало бы злоумышленникам возможность взламывать пароли). Кроме того, междоменные запросы обычно не допускают включение в них никакой другой информации, подтверждающей подлинность пользователя: cookies и HTTP-лексемы аутентификации обычно не передаются в составе запроса, а любые cookies, полученные в результате выполнения междоменного запроса, уничтожаются. Если для выполнения междоменного запроса требуется выполнить аутентификацию пользователя, перед вызовом метода

send()

следует установить свойство

withCredentials

объекта

XMLHttpRequest

в значение true. Проверка наличия свойства

withCredentials

позволит определить наличие поддержки заголовка «CORS» в броузере, хотя обычно этого не требуется.

В примере 18.13 приводится ненавязчивый JavaScript-код, использующий объект

XMLHttpRequest

для выполнения HEAD-запросов HTTP с целью получения информации о типах, размерах и датах последнего изменения ресурсов, на которые ссылаются элементы

<а>.

HEAD-запросы выполняются по требованию, а полученная информация отображается во всплывающих подсказках. В этом примере предполагается, что информация не будет доступна для междоменных ссылок, тем не менее в броузерах с поддержкой заголовка «CORS» все равно будут выполняться попытки получить ее.

Пример 18.13. Получение информации о ссылках с помощью HEAD-запросов при наличии поддержки заголовка «CORS»

/**

* linkdetails.js

*

<b>* Этот модуль в стиле ненавязчивого JavaScript отыскивает все элементы &lt;а&gt;</b>

<b>* с атрибутом href и без атрибута title, и добавляет в них обработчики</b>

<b>* события onmouseover. Обработчик события выполняет HEAD-запрос с помощью</b>

<b>* объекта XMLHttpRequest, чтобы получить сведения о ресурсе, на который</b>

<b>* указывает ссылка, и сохраняет эту информацию в атрибуте title ссылки,</b>

<b>* благодаря чему эта информация будет отображаться во всплывающей подсказке.</b>

*/

whenReady(function() {

<b>  // Поддерживается ли возможность выполнения междоменных запросов?</b>

 var supportsCORS = (new XMLHttpRequest()).withCredentials !== undefined;

 // Обойти в цикле все ссылки в документе

 var links = document.getElementsByTagName('a');

 for(var і = 0; і < links.length; і++) {

 var link = links[і];

 if (!link.href) continue; // Пропустить якоря, не являющиеся ссылками

 if (link.title) continue; // Пропустить ссылки с атрибутом title

 // Если это междоменная ссылка

 if (link.host!==location.host || link.protocol !== location.protocol)

 {

<b>      link.title = &quot;Ссылка на другой сайт&quot;; // Предполагается, что нельзя</b>

<b>                                            // получить дополнительную информацию</b>

 if (!supportsCORS) continue; // Пропустить, если заголовок

 // C0RS не поддерживается

<b>      // Иначе есть надежда получить больше сведений о ссылке. Поэтому регистрируем</b>

<b>      // обработчик события, который предпримет попытку сделать это.</b>

 }

<b>    // Зарегистрировать обработчик события, который получит сведения</b>

 // о ссылке при наведении на нее указателя мыши

 if (link.addEventListener)

 link.addEventListener("mouseover", mouseoverHandler, false);

 else

 link.attachEvent("onmouseover", mouseoverHandler);

 }

 function mouseoverHandler(e) {

 var link = e.target || e.srcElement; // Элемент <a>

 var url = link, liref; // URL-адрес ссылки

 var req = new XMLHttpRequest(); // Новый запрос

 req.open("HEAD", url); // Запросить только заголовки

 req.onreadystatechange = function() { // Обработчик события

 if (req.readyState !== 4) return; // Игнорировать незаверш. запросы

 if (req.status === 200) { // В случае успеха

 var type = req.getResponseHeader("Content-Type"); //Получить

 var size = req.getResponseHeader("Content-Length"); //сведения

 var date = req.getResponseHeader("Last-Modified"); //о ссылке