跨域问题是前端开发中经常遇到的难题，它限制了不同源的网页或应用程序之间的通信。同源策略（Same-Origin Policy）是为了保护用户隐私和安全而实施的安全机制，它规定了只有来自相同源（协议、域名和端口）的资源才能相互访问。当遇到跨域请求时，浏览器会自动阻止该请求，导致开发人员无法充分利用互联网的开放性。
面对跨域难题，前端开发人员们开发出了多种解决方案，其中最常见的是 CORS（跨域资源共享）和 JSONP（JSONP（JSON with Padding））。CORS 是一种基于 HTTP 头的机制，允许不同源的网页或应用程序在满足特定条件的情况下相互通信。CORS 允许服务器端通过设置响应头来指定哪些源可以访问其资源，并允许客户端通过发送预检请求来验证服务器端是否允许跨域请求。
JSONP 是一种利用 HTML 的<script>标签的跨域解决方案。JSONP 的原理是将数据作为 JavaScript 对象的属性值，然后通过<script>标签动态加载包含该数据的脚本。由于<script>标签不受同源策略的限制，因此可以跨域加载脚本并获取数据。但是，JSONP 仅适用于 GET 请求，并且存在安全风险，因为客户端无法验证数据的来源。
为了更好地理解 CORS 和 JSONP，我们可以在实际项目中进行演示。首先，我们创建一个简单的 HTML 页面，并在页面中包含一个<script>标签，用于加载跨域资源。
<!DOCTYPE html>
<html>
<head>
<title>跨域示例</title>
</head>
<body>
<h1>跨域示例</h1>
<script src="https://example.com/api/data.json"></script>
</body>
</html>在上面的示例中，<script>标签试图加载来自 https://example.com 的数据。但是，由于同源策略的限制，浏览器会阻止该请求。为了解决这个问题，我们需要在服务器端设置 CORS 响应头。假设我们的服务器端代码使用 Node.js 编写，我们可以这样设置 CORS 响应头：
app.get("/api/data.json", (req, res) => {
res.header("Access-Control-Allow-Origin", "*");
res.header("Access-Control-Allow-Methods", "GET");
res.header("Access-Control-Allow-Headers", "Content-Type");
res.json({ data: "Hello, world!" });
});在上面的代码中，我们设置了 CORS 响应头，允许来自任何源（Access-Control-Allow-Origin: *）的 GET 请求（Access-Control-Allow-Methods: "GET"），并允许客户端发送 Content-Type 请求头（Access-Control-Allow-Headers: "Content-Type"）。
现在，当客户端发送跨域请求时，浏览器会首先发送一个预检请求（OPTIONS 请求）到服务器端，以验证服务器端是否允许跨域请求。如果服务器端的响应包含了正确的 CORS 响应头，则浏览器会允许客户端发送实际的请求。
JSONP 的演示与 CORS 类似，但存在安全风险。我们需要注意的是，JSONP 仅适用于 GET 请求，并且容易受到跨站脚本攻击（XSS）。为了避免 XSS 攻击，我们需要对 JSONP 请求进行严格的验证。
总之，CORS 和 JSONP 都是解决跨域问题的有效方法。CORS 是更安全、更通用的解决方案，但需要服务器端和客户端的配合。JSONP 是一个简单的跨域解决方案，但存在安全风险，需要谨慎使用。
