Web технологии

Asynchronous JavaScript And XML

AJAX - технология загрузки данных / отправки форм без обновления WEB страницы.

XML - совершенно не обязателен, возможны отправка и прием данных любого типа. Чаще всего вместо XML используется HTML либо JSON для загрузки сырых данных.

AJAX на стороне клиента

AJAX при помощи jQuery

Особенности и ограничения AJAX

• Same Origin Policy - AJAX запросы можно отправлять только на свой домен. В современных браузерах есть CORS.
• Т.к. данные передаются явно в метод send, то нельзя загружать файлы. В HTML5 есть FormData.
• AJAX на стороне сервера не отличим от обычного запроса. jQuery добавляет заголовок X-Requested-With: XMLHttpRequest
• Результаты запроса передаются в JavaScript функцию поэтому стандартные методы обработки ошибок - не работают.

Загрузка HTML данных

В blog/comments.html отображается только HTML код комментариев, без окружающей страницы.

Обмен данными в JSON

HttpResponseAjax

Использование HttpResponseAjax

Проверка авторизации в AJAX

Cross Origin Resource Sharing

Браузер выполняет AJAX запросы даже к чужому домену, но в этом случае не вызывает функцию-callback в JavaScript, т.е. не дает использовать данные, загруженные с чужого домена.

CORS позволяет серверу явно разрешить использование данных при кросс-доменных запросах.

Cross Origin Resource Sharing

Заголовки CORS

• Origin - указывает URL запрашивающего приложения
• Access-Control-Allow-Origin: origin - разрешает использовать данные в кросс-доменном запросе. origin должен либо совпадать с загловком Origin в запросе, либо *.
• Access-Control-Allow-Credentials - позволяет использовать данные, если были переданы cookies.

Использование CORS

Не следует разрешать CORS для всех запросов (*).
Хорошей практикой является:

• Проверка суффикса домена
• Проверка домена по списку доверенных

CORS на клиенте

CORS на сервере