JSONP是跨域最老实的办法，但也是跨域最笨的。它只支持GET请求，跨域靠动态塞一个<script>标签进去，跨域服务器把数据包在回调函数里扔回来。跨域十年前我靠这招吃饭，跨域现在看见它就想绕道走——你没法处理POST，跨域也没法处理错误状态，跨域请求超时了连个屁都不放。跨域

CORS才是跨域正经路子。服务器那边加一个响应头，跨域Access-Control-Allow-Origin: *，跨域浏览器就放行了。跨域麻烦在于你得让后端同事配合，跨域而且他要是跨域只给你配了GET，你拿POST去试，照样报错。我见过最坑的一次，后端把Access-Control-Allow-Origin设成了*，但我带了Authorization头，浏览器直接拦下来——因为通配符不能和凭证头共存。这坑踩一次记一辈子。

如果你控制不了对方服务器，那就用代理。开发环境用webpack的proxy，生产环境让Nginx转发一下。本质上是让浏览器以为你在请求同源地址，实际是后端帮你把请求转出去了。这招最稳，但需要你有点运维底子。我见过有人连Nginx配置文件都找不到，那就别玩这个。

还有一种骚操作叫postMessage，专门对付iframe跨域。父页面往子页面里塞消息，子页面监听事件拿数据。这玩意儿适合那种嵌第三方页面的场景，比如你在自己网站里套了个别人家的报表。但要注意安全，消息得校验来源，不然谁都可以往你页面里灌垃圾数据。

再狠一点，用WebSocket。它压根不走HTTP，不受同源策略限制。但前提是你得有个支持WS的服务器，而且很多防火墙会拦WS连接。为了跨域专门开个WS，有点杀鸡用牛刀。

还有个野路子，用window.name。这玩意儿能跨域存数据，原理是页面跳转后name值还在。但只能存字符串，还得靠iframe配合，维护起来跟拆炸弹似的。我上次用这招还是2016年，之后就再也没碰过——太反人类了。

最后说一句，别迷信什么“终极方案”。跨域这事本质是浏览器的安全策略，你想绕过去就得跟浏览器玩心眼。CORS是正规军，代理是后勤部队，JSONP是游击队。选哪个，取决于你手里有啥资源。如果你连后端同事的微信都没有，那就老老实实用代理——自己动手，丰衣足食。

(责任编辑：综合)