1. 甚么是布吕马
布吕马，是指应用程序无法继续执行其它中文网站的JAVA。它是由应用程序的相混思路导致的，是应用程序对JavaScript实行的安全可靠管制。
相混思路管制了呵呵犯罪行为：
Cookie、LocalStorage 和 2. 常用的布吕马情景
简而言之的相混是指，搜索引擎、协定、路由器均为完全相同。
http://www.nealyang.cn/index.html 初始化 http://www.nealyang.cn/server.php 非布吕马
http://www.nealyang.cn/index.html 初始化 http://www.neal.cn/server.php 布吕马,主域完全相同
http://abc.nealyang.cn/index.html 初始化 http://def.neal.cn/server.php 布吕马,子搜索引擎完全相同
http://www.nealyang.cn:8080/index.html 初始化 http://www.nealyang.cn/server.php 布吕马,路由器完全相同
https://www.nealyang.cn/index.html 初始化 http://www.nealyang.cn/server.php 布吕马,协定完全相同
localhost 初始化 127.0.0.1 布吕马
3. 布吕马的解决之道
3.1 jsonp布吕马
jsonp布吕马只不过也是JavaScript程序语言中的一类全权商业模式。在html网页中透过适当的条码从完全相同搜索引擎下读取静态天然资源文档是被应用程序容许的，因此他们能透过那个“犯罪犯罪行为安全可靠漏洞”来展开布吕马。通常，他们能静态的建立script条码，再去允诺两个带参邮箱来同时实现布吕马通讯
//原生植物的同时实现形式
let script = document.createElement(script);
script.src = http://www.nealyang.cn/login?username=Nealyang&callback=callback;
document.body.appendChild(script);
function callback(res) {
console.log(res);
}
总之，jquery也全力支持jsonp的同时实现形式
$.ajax({
url:http://www.nealyang.cn/login,
type:GET,
dataType:jsonp,//允诺形式为jsonp
jsonpCallback:callback,
data:{
“username”:”Nealyang”
}
})
虽然这种形式非常好用，但是两个最大的缺陷是，只能够同时实现get允诺
3.2 document.domain + iframe 布吕马
这种布吕马的形式最主要的是要求主搜索引擎完全相同。甚么是主搜索引擎完全相同呢？
http://www.geekjc.com http://aaa.geekjc.com http://ba.ad.geekjc.com 这三个主搜索引擎都是geekjc.com,而主搜索引擎完全相同的就无法用此方法。
假设目前http://a.geekjc.com 和 http://b.geekjc.com 分别对应指向完全相同ip的服务器。
http://a.geekjc.com 下有两个test.html文档
<!DOCTYPE html>
<html lang=”en”>
<head>
<meta charset=”UTF-8″>
<title>html</title>
<script type=”text/javascript” src = “jquery-1.12.1.js”></script>
</head>
<body>
<div>A网页</div>
<iframe
style = “display : none”
name = “iframe1”
id = “iframe”
src=”//b.geekjc.com/1.html” frameborder=”0″></iframe>
<script type=”text/javascript”>
$(function(){
try{
document.domain = “geekjc.com”
}catch(e){}
$(“#iframe”).load(function(){
var jq = document.getElementById(iframe).contentWindow.$
jq.get(“http://geekjc.com/test.json”,function(data){
console.log(data);
});
})
})
</script>
</body>
</html>
利用 iframe 读取 其它域下的文档（http://geekjc.com/1.html）, 同时 document.domain 设置成 http://geekjc.comhttp://geekjc.com域下的全局对象， 此时尝试着去允诺http://geekjc.com 搜索引擎下的 test.json （此时能允诺接口），就会发现数据允诺失败了~~ 惊不惊喜，意不意外！！！！！！！
数据允诺失败，目的没有达到，自然是还少一步：
<!DOCTYPE html>
<html lang=”en”>
<head>
<meta charset=”UTF-8″>
<title>html</title>
<script type=”text/javascript” src = “jquery-1.12.1.js”></script>
<script type=”text/javascript”>
$(function(){
try{
document.domain = “geekjc.com”
}catch(e){}
})
</script>
</head>
<body>
<div id = “div1”>B网页</div>
</body>
</html>
此时在展开刷新应用程序，就会发现数据这次真的是成功了~
3.3 window.name + iframe 跨域
window.name属性可设置或者返回存放窗口名称的两个字符串。他的神器之处在于name值在完全相同网页或者完全相同域下读取后依旧存在，没有修改就不会发生变化，并且能存储非常长的name(2MB)
假设index网页允诺远端服务器上的数据，他们在该网页下建立iframe条码，该iframe的src指向服务器文档的地址（iframe条码src能布吕马），服务器文档里设置好window.name的值，然后再在index.html里面读取改iframe中的window.name的值。完美~
<body>
<script type=”text/javascript”>
iframe = document.createElement(iframe),
iframe.src = http://localhost:8080/data.php;
document.body.appendChild(iframe);
iframe.onload = function() {
console.log(iframe.contentWindow.name)
};
</script>
</body>
总之，这样还是不够的。
因为规定如果index.html网页和和该网页里的iframe框架的src如果不相混，则也无法操作框架里的任何东西，因此就取不到iframe框架的name值了，告诉你他们不是一家的，你也休想得到我这里的数据。 既然要相混，那就换个src去指，前面说了无论怎样读取window.name值都不会变化，于是他们在index.html完全相同目录下，新建了个proxy.html的空网页，修改代码如下：
<body>
<script type=”text/javascript”>
iframe = document.createElement(iframe),
iframe.src = http://localhost:8080/data.php;
document.body.appendChild(iframe);
iframe.onload = function() {
iframe.src = http://localhost:81/cross-domain/proxy.html;
console.log(iframe.contentWindow.name)
};
</script>
</body>
理想似乎很美好，在iframe载入过程中，迅速重置iframe.src的指向，使之与ind，又触发onload事件，于是就不停地刷新了（但是需要的数据还是能输出的）。修改后代码如下：
<body>
<script type=”text/javascript”>
iframe = document.createElement(iframe);
iframe.style.display = none;
var state = 0;
iframe.onload = function() {
if(state === 1) {
var data = JSON.parse(iframe.contentWindow.name);
console.log(data);
iframe.contentWindow.document.write();
iframe.contentWindow.close();
document.body.removeChild(iframe);
} else if(state === 0) {
state = 1;
iframe.contentWindow.location = http://localhost:81/cross-domain/proxy.html;
}
};
iframe.src = http://localhost:8080/data.php;
document.body.appendChild(iframe);
</script>
</body>
因此如上，他们就拿到了服务器返回的数据，但是有几个条件是必不可少的：
iframe条码的布吕马能力window.names属性值在文档刷新后依然存在的能力3.4 location.hash + iframe 布吕马
此布吕马方法和上面介绍的比较类似，一样是静态插入两个iframe然后设置其src为服务端地址，而服务端同样输出一端js代码，也同时透过与子窗口之间的通讯来完成数据的传输。
关于锚点相信大家都已经知道了，只不过就是设置锚点，让文档指定的适当的位置。锚点的设置用a条码，然后href指向要跳转到的id，总之，前提是你得有个滚动条，不然也不好滚动嘛是吧。
而location.hash只不过就是url的锚点。比如https://www.geekjc.com#geekjcg的邮箱打开后，在控制台输入location.hash就会返回#geekjc的字段。
基础知识补充完毕，下面他们来说下如何同时实现布吕马
rame的src继续执行服务器的地址，这时候的top window 和包裹那个iframe的子窗口是无法通讯的，因为相混思路，因此改变子窗口的路径就能了，将数据当做改变后的路径的hash值读取路径上，然后就能通讯了。将数据加在index网页地址的hash上， index网页监听hash的变化，h5的hashchange方法
<body>
<script type=”text/javascript”>
function getData(url, fn) {
var iframe = document.createElement(iframe);
iframe.style.display = none;
iframe.src = url;
iframe.onload = function() {
fn(iframe.contentWindow.location.hash.substring(1));
window.location.hash = ;
document.body.removeChild(iframe);
};
document.body.appendChild(iframe);
}
// get data from server
var url = http://localhost:8080/data.php;
getData(url, function(data) {
var jsondata = JSON.parse(data);
console.log(jsondata.name + + jsondata.age);
});
</script>
</body>
补充说明：只不过location.hash和window.name都是差不多的，都是利用全局对象属性的方法，然后这两种方法和jsonp也是一样的，就是只能够同时实现get允诺3.5 postMessage布吕马
这是由H5提出来的两个炫酷的API，IE8+，chrome,ff都已经全力支持实现了那个功能。那个功能也是非常的简单，其中包括接受信息的Message时间，和发送信息的postMessage方法。
发送信息的postMessage方法是向外界窗口发送信息
otherWindow.postMessage(message,targetOrigin);
otherWindow指的是目标窗口，也就是要给哪两个window发送消息，是window.frames属性的成员或者是window.open方法建立的窗口。 Message是要发送的消息，类型为String，Object(IE8、9不全力支持Obj)，targetOrigin是限定消息接受范围，不管制就用星号 *
接受信息的message事件
var onmessage = function(event) {
var data = event.data;
var origin = event.origin;
}
if(typeof window.addEventListener != undefined){
window.addEventListener(message,onmessage,false);
}else if(typeof window.attachEvent != undefined){
window.attachEvent(onmessage, onmessage);
}
举个栗子
a.html(http://www.nealyang.cn/a.html)
<iframe id=”iframe” src=”//www.neal.cn/b.html” style=”display:none;”></iframe>
<script>
var iframe = document.getElementById(iframe);
iframe.onload = function() {
var data = {
name: aym
};
// 向neal传送布吕马数据
iframe.contentWindow.postMessage(JSON.stringify(data), http://www.neal.cn);
};
// 接受domain2返回数据
window.addEventListener(message, function(e) {
alert(data from neal —> + e.data);
}, false);
</script>
b.html(http://www.neal.cn/b.html)
<script>
// 接收domain1的数据
window.addEventListener(message, function(e) {
alert(data from nealyang —> + e.data);
var data = JSON.parse(e.data);
if (data) {
data.number = 16;
// 处理后再发回nealyang
window.parent.postMessage(JSON.stringify(data), http://www.nealyang.cn);
}
}, false);
</script>
3.6 布吕马天然资源共享 CORS
因为是目前主流的布吕马软件系统。因此这里多介绍点。
简介
CORS是两个W3C标准，全称是”布吕马天然资源共享”（Cross-origin resource sharing）。 它容许应用程序向跨源服务器，发出XMLHttpRequest允诺，从而克服了AJAX只能相混使用的管制。
CORS需要应用程序和服务器同时全力支持。目前，所有应用程序都全力支持该功能，IE应用程序无法低于IE10。IE8+：IE8/9需要使用XDomainRequest对象来全力支持CORS。
整个CORS通讯过程，都是应用程序自动完成，不需要用户参与。对于开发者来说，CORS通讯与相混的AJAX通讯没有差别，代码完全一样。应用程序一旦发现AJAX允诺跨源，就会自动添加一些附加的头信息，有时还会多出一次附加的允诺，但用户不会有感觉。 因此，同时实现CORS通讯的关键是服务器。只要服务器同时实现了CORS接口，就能跨源通讯。
两种允诺
说起来很搞笑，分为两种允诺，一类是简单允诺，另一类是非简单允诺。只要满足下面条件就是简单允诺
允诺形式为HEAD、POST 或者 GEThttp头信息不超出呵呵字段：Accept、Accept-Language 、 Content-Language、 Last-Event-ID、 Content-Type(限于三个值：application/x-www-form-urlencoded、multipart/form-data、text/plain)
为甚么要分为简单允诺和非简单允诺，因为应用程序对这两种允诺形式的处理形式是完全相同的。简单允诺
基本流程
对于简单允诺，应用程序直接发出CORS允诺。具体来说，就是在头信息之中，增加两个Origin字段。 下面是两个例子，应用程序发现这次跨源AJAX允诺是简单允诺，就自动在头信息之中，添加两个Origin字段。
GET /cors HTTP/1.1
Origin: http://api.bob.com
Host: api.alice.com
Accept-Language: en-US
Connection: keep-alive
User-Agent: Mozilla/5.0
…
Origin字段用来说明，本次允诺来自哪个源（协定 + 搜索引擎 + 路由器）。服务器根据那个值，决定是否同意这次允诺。
如果Origin指定的源，不在许可范围内，服务器会返回两个正常的HTTP回应。 应用程序发现，那个回应的头信息没有包含Access-Control-Allow-Origin字段（详见下文），就知道出错了，从而抛出两个错误，被XMLHttpRequest的onerror回调函数捕获。
注意，这种错误无法透过状态码识别，因为HTTP回应的状态码有可能是200。
如果Origin指定的搜索引擎在许可范围内，服务器返回的响应，会多出几个头信息字段。
Access-Control-Allow-Origin: http://api.bob.com
Access-Control-Allow-Credentials: true
Access-Control-Expose-Headers: FooBar
Content-Type: text/html; charset=utf-8
上面的头信息之中，有三个与CORS允诺相关的字段，都以Access-Control-开头
Access-Control-Allow-Origin :该字段是必须的。它的值要么是允诺时Origin字段的值，要么是两个*，表示接受任意搜索引擎的允诺
Access-Control-Allow-Credentials: 该字段可选。它的值是两个布尔值，表示是否容许发送Cookie。默认情况下，Cookie不包括在CORS允诺之中。设为true，即表示服务器明确许可，Cookie能包含在允诺中，一起发给服务器。那个值也只能设为true，如果服务器不要应用程序发送Cookie，删除该字段即可。
Access-Control-Expose-Headers:该字段可选。CORS允诺时，XMLHttpRequest对象的getResponseHeader()方法只能拿到6个基本字段：Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma。如果想拿到其它字段，就必须在Access-Control-Expose-Headers里面指定。
withCredentials 属性
上面说到，CORS允诺默认不发送Cookie和HTTP认证信息。如果要把Cookie发到服务器，一方面要服务器同意，指定Access-Control-Allow-Credentials字段。
另一方面，开发者必须在AJAX允诺中打开withCredentials属性。
var xhr = new XMLHttpRequest(); // IE8/9需用window.XDomainRequest兼容
// 前端设置是否带cookie
xhr.withCredentials = true;
xhr.open(post, http://www.domain2.com:8080/login, true);
xhr.setRequestHeader(Content-Type, application/x-www-form-urlencoded);
xhr.send(user=admin);
xhr.onreadystatechange = function() {
if (xhr.readyState == 4 && xhr.status == 200) {
alert(xhr.responseText);
}
};
// jquery
$.ajax({
…
xhrFields: {
withCredentials: true // 前端设置是否带cookie
},
crossDomain: true, // 会让允诺头中包含布吕马的额外信息，但不会含cookie
…
});
否则，即使服务器同意发送Cookie，应用程序也不会发送。或者，服务器要求设置Cookie，应用程序也不会处理。 但是，如果省略withCredentials设置，有的应用程序还是会一起发送Cookie。这时，能显式关闭withCredentials。
需要注意的是，如果要发送Cookie，Access-Control-Allow-Origin就无法设为星号，必须指定明确的、与允诺网页一致的搜索引擎。同时，Cookie依然遵循相混政策，只有用服务器搜索引擎设置的Cookie才会上传，其它搜索引擎的Cookie并不会上传，且（跨源）原网页代码中的document.cookie也无法读取服务器搜索引擎下的Cookie。
非简单允诺
非简单允诺是那种对服务器有特殊要求的允诺，比如允诺方法是PUT或DELETE，或者Content-Type字段的类型是application/json。
非简单允诺的CORS允诺，会在正式通讯之前，增加一次HTTP查询允诺，称为”预检”允诺（preflight）。
应用程序先询问服务器，当前网页所在的搜索引擎是否在服务器的许可名单之中，以及能使用哪些HTTP动词和头信息字段。只有得到肯定答复，应用程序才会发出正式的XMLHttpRequest允诺，否则就报错。
var url = http://api.alice.com/cors;
var xhr = new XMLHttpRequest();
xhr.open(PUT, url, true);
xhr.setRequestHeader(X-Custom-Header, value);
xhr.send();
应用程序发现，这是两个非简单允诺，就自动发出两个”预检”请求，要求服务器确认能这样允诺。下面是那个”预检”允诺的HTTP头信息。
OPTIONS /cors HTTP/1.1
Origin: http://api.bob.com
Access-Control-Request-Method: PUT
Access-Control-Request-Headers: X-Custom-Header
Host: api.alice.com
Accept-Language: en-US
Connection: keep-alive
User-Agent: Mozilla/5.0…
“预检”允诺用的允诺方法是OPTIONS，表示那个允诺是用来询问的。头信息里面，关键字段是Origin，表示允诺来自哪个源。
除了Origin字段，”预检”允诺的头信息包括两个特殊字段。
Access-Control-Request-Method：该字段是必须的，用来列出应用程序的CORS允诺会用到哪些HTTP方法，上例是PUT。Access-Control-Request-Headers：该字段是两个逗号分隔的字符串，指定应用程序CORS允诺会额外发送的头信息字段，上例是X-Custom-Header预检允诺的回应
服务器收到”预检”允诺以后，检查了Origin、Access-Control-Request-Method和Access-Control-Request-Headers字段以后，确认容许跨源允诺，就能做出回应
HTTP/1.1 200 OK
Date: Mon, 01 Dec 2008 01:15:39 GMT
Server: Apache/2.0.61 (Unix)
Access-Control-Allow-Origin: http://api.bob.com
Access-Control-Allow-Methods: GET, POST, PUT
Access-Control-Allow-Headers: X-Custom-Header
Content-Type: text/html; charset=utf-8
Content-Encoding: gzip
Content-Length: 0
Keep-Alive: timeout=2, max=100
Connection: Keep-Alive
Content-Type: text/plain
上面的HTTP回应中，关键的是Access-Control-Allow-Origin字段，表示http://api.bob.com能允诺数据。该字段也能设为星号，表示同意任意跨源允诺。
如果应用程序否定了”预检”允诺，会返回两个正常的HTTP回应，但是没有任何CORS相关的头信息字段。这时，应用程序就会认定，服务器完全相同意预检允诺，因此触发两个错误，被XMLHttpRequest对象的onerror回调函数捕获。控制台会打印出如下的报错信息。
服务器回应的其它CORS相关字段如下：
Access-Control-Allow-Methods: GET, POST, PUT
Access-Control-Allow-Headers: X-Custom-Header
Access-Control-Allow-Credentials: true
Access-Control-Max-Age: 1728000
Access-Control-Allow-Methods：该字段必需，它的值是逗号分隔的两个字符串，表明服务器全力支持的所有布吕马允诺的方法。注意，返回的是所有全力支持的方法，而不单是应用程序允诺的那个方法。这是为了避免多次”预检”允诺。Access-Control-Allow-Headers：如果应用程序允诺包括Access-Control-Request-Headers字段，则Access-Control-Allow-Headers字段是必需的。它也是两个逗号分隔的字符串，表明服务器全力支持的所有头信息字段，不限于应用程序在”预检”中允诺的字段。Access-Control-Allow-Credentials： 该字段与简单允诺时的含义完全相同。Access-Control-Max-Age： 该字段可选，用来指定本次预检允诺的有效期，单位为秒。上面结果中，有效期是20天（1728000秒），即容许缓存该条回应1728000秒（即20天），在此期间，不用发出另一条预检请求。应用程序正常允诺回应
一旦服务器透过了”预检”允诺，以后每次应用程序正常的CORS允诺，就都跟简单允诺一样，会有两个Origin头信息字段。服务器的回应，也都会有两个Access-Control-Allow-Origin头信息字段。
PUT /cors HTTP/1.1
Origin: http://api.bob.com
Host: api.alice.com
X-Custom-Header: value
Accept-Language: en-US
Connection: keep-alive
User-Agent: Mozilla/5.0…
应用程序的正常CORS允诺。上面头信息的Origin字段是应用程序自动添加的。下面是服务器正常的回应。
Access-Control-Allow-Origin: http://api.bob.com
Content-Type: text/html; charset=utf-8
Access-Control-Allow-Origin字段是每次回应都必定包含的
结束语
CORS与JSONP的使用目的完全相同，但是比JSONP更强大。JSONP只全力支持GET允诺，CORS全力支持所有类型的HTTP允诺。JSONP的优势在于全力支持老式应用程序，以及能向不全力支持CORS的中文网站允诺数据。
3.7 WebSocket协定布吕马
WebSocket protocol是HTML5一类新的协定。它同时实现了应用程序与服务器全双工通讯，同时容许布吕马通讯，是server push技术的一种很好的同时实现。
原生植物WebSocket API使用起来不太方便，他们使用http://Socket.io，它很好地封装了webSocket接口，提供了更简单、灵活的接口，也对不全力支持webSocket的浏览器提供了向下兼容。
前端代码：
<div>user input：<input type=”text”></div>
<script src=”./socket.io.js”></script>
<script>
var socket = io(http://www.domain2.com:8080);
// 连接成功处理
socket.on(connect, function() {
// 监听服务端消息
socket.on(message, function(msg) {
console.log(data from server: —> + msg);
});
// 监听服务端关闭
socket.on(disconnect, function() {
console.log(Server socket has closed.);
});
});
document.getElementsByTagName(input)[0].onblur = function() {
socket.send(this.value);
};
</script>
node Server
var http = require(http);
var socket = require(socket.io);
// 启http服务
var server = http.createServer(function(req, res) {
res.writeHead(200, {
Content-type: text/html
});
res.end();
});
server.listen(8080);
console.log(Server is running at port 8080…);
// 监听socket连接
socket.listen(server).on(connection, function(client) {
// 接收信息
client.on(message, function(msg) {
client.send(hello： + msg);
console.log(data from client: —> + msg);
});
// 断开处理
client.on(disconnect, function() {
console.log(Client socket has closed.);
});
});
3.8 node全权布吕马
node中间件同时实现布吕马全权，是透过启两个全权服务器，同时实现数据的转发，也能透过设置cookieDomainRewrite参数修改响应头中cookie中搜索引擎，同时实现当前域的cookie写入，方便接口登录认证。
利用node + express + http-proxy-middleware搭建两个proxy服务器
前端代码
var xhr = new XMLHttpRequest();
// 前端开关：应用程序是否读写cookie
xhr.withCredentials = true;
// 访问http-proxy-middleware全权服务器
xhr.open(get, http://www.domain1.com:3000/login?user=admin, true);
xhr.send();
后端代码
var express = require(express);
var proxy = require(http-proxy-middleware);
var app = express();
app.use(/, proxy({
// 全权布吕马目标接口
target: http://www.domain2.com:8080,
changeOrigin: true,
// 修改响应头信息，同时实现布吕马并容许带cookie
onProxyRes: function(proxyRes, req, res) {
res.header(Access-Control-Allow-Origin, http://www.domain1.com);
res.header(Access-Control-Allow-Credentials, true);
},
// 修改响应信息中的cookie搜索引擎
cookieDomainRewrite: www.domain1.com // 能为false，表示不修改
}));
app.listen(3000);
console.log(Proxy server is listen at port 3000…);
3.9 nginx全权布吕马
1、 nginx配置解决iconfont布吕马
应用程序布吕马访问js、css、img等常规静态天然资源被相混思路许可，但iconfont字体文档(eot|otf|ttf|woff|svg)例外，此时可在nginx的静态天然资源服务器中加入以下配置。
location / {
add_header Access-Control-Allow-Origin *;
}
2、 nginx反向全权接口布吕马
布吕马原理： 相混思路是应用程序的安全可靠思路，不是HTTP协定的一部分。服务器端初始化HTTP接口只是使用HTTP协定，不会继续执行JSJAVA，不需要同源思路，也就不存在跨越问题。
同时实现思路：透过nginx配置两个全权服务器（搜索引擎与domain1完全相同，路由器完全相同）做跳板机，反向全权访问domain2接口，并且能顺便修改cookie中domain信息，方便当前域cookie写入，同时实现布吕马登录。
nginx具体配置：
#proxy服务器
server {
listen 81;
server_name www.domain1.com;
location / {
proxy_pass http://www.domain2.com:8080; #反向全权
proxy_cookie_domain www.domain2.com www.domain1.com; #修改cookie里搜索引擎
index index.html index.htm;
# 当用webpack-dev-server等中间件全权接口访问nignx时，此时无应用程序参与，故没有相混管制，下面的布吕马配置可不启用
add_header Access-Control-Allow-Origin http://www.domain1.com; #当前端只布吕马不带cookie时，可为*
add_header Access-Control-Allow-Credentials true;
}
}
1.) 前端代码示例：
var xhr = new XMLHttpRequest();
// 前端开关：应用程序是否读写cookie
xhr.withCredentials = true;
// 访问nginx中的全权服务器
xhr.open(get, http://www.domain1.com:81/?user=admin, true);
xhr.send();
2.) Nodejs后台示例：
var http = require(http);
var server = http.createServer();
var qs = require(querystring);
server.on(request, function(req, res) {
var params = qs.parse(req.url.substring(2));
// 向前台写cookie
res.writeHead(200, {
Set-Cookie: l=a123456;Path=/;Domain=www.domain2.com;HttpOnly // HttpOnly:JAVA无法读取
});
res.write(JSON.stringify(params));
res.end();
});
server.listen(8080);
console.log(Server is running at port 8080…);
作者： 极客教程
链接：https://www.imooc.com/article/21976
原文作者：Nealyang
原文链接：https://juejin.im/post/5a2f92c65188253e2470f16d
