在前端开发中，我们常常需要通过 AJAX（Asynchronous JavaScript and XML）技术向服务器请求数据来更新页面。然而，当我们将网站部署在不同的子域名下时，会出现一个问题：AJAX 调用子域名是否属于跨站脚本（Cross Site Scripting，XSS）攻击？
什么是跨站脚本攻击？
跨站脚本攻击指恶意攻击者在 Web 页面中嵌入脚本代码，使得用户浏览器执行该脚本代码并篡改页面内容或盗取用户信息等。例如，攻击者可以在论坛帖子中插入 JavaScript 代码，当其他用户查看该帖子时，他们的浏览器会执行该代码，导致用户账号泄露或被劫持。
子域名的定义
在 DNS 中，每个域名都由多个标签组成，中间以点号分隔。例如，www.example.com 中有三个标签，分别为 www、example 和 com。如果我们将不同的应用程序部署在相同的域名下，那么这些应用程序就会共享同一个 Cookie 和存储空间，在一定程度上增加了攻击者利用 XSS 攻击窃取敏感数据的风险。
为了避免这种情况，我们可以将不同的应用程序部署在不同的子域名下。例如，www.example.com 和 api.example.com 就是两个不同的子域名。
AJAX 调用子域名的情况下，浏览器会向另一个域名发出请求，并且接收到的响应数据也来自于该域名。因此，我们可能认为这种情况下存在跨站脚本攻击的风险。
然而，在现代浏览器中，有一个安全特性称为“同源策略”（Same-Origin Policy），它限制了来自不同源的 Web 页面之间的访问和交互。具体来说，同源策略要求 Web 页面只能访问来自同一域名、端口号和协议的资源。
比如，如果页面 A 位于 https://www.example.com，那么它只能访问同一域名下的其他资源，如 https://www.example.com/index.html，而不能访问其他域名下的资源，如 https://api.example.com/data.json。
因此，当我们通过 AJAX 调用子域名时，如果目标子域名与页面所在的主域名相同，且协议和端口号也相同，那么这种调用就是安全的。例如，如果页面位于 https://www.example.com，而 AJAX 请求的子域名为 https://api.example.com，那么这种调用就是允许的。
然而，如果目标子域名与页面所在的主域名不同，即使它们属于同一顶级域名（如 example.com），AJAX 调用仍然会被浏览器视为跨站脚本攻击而被阻止。这是因为同源策略要求域名必须完全相同才能允许资源共享。
如何解决跨域问题？
为了克服同源策略带来的限制，我们可以采取以下方法：
JSONP
JSONP（JSON
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/27791