CORS(跨来源资源共享协议)，高级浏览器(Chrome,firefox, opera, safir, ie10)在 XMLHttpRequest(AJAX) 中已经支持了这个协议。可以实现ajax跨域访问。（其实IE8也实现了，只不过是另外一个对象）

由于是跨来源的的访问，标识HTTP状态的Cookie的使用有一些特别处理。

Server Nodejs 代码

res.setHeader('Access-Control-Allow-Origin', req.headers.origin);//注意这里不能使用 * 
res.setHeader('Access-Control-Allow-Credentials', true);//告诉客户端可以在HTTP请求中带上Cookie
res.setHeader('Access-Control-Allow-Methods', 'POST, GET, PUT, DELETE, OPTIONS');

在用nodejs时，有个地方需要用到跨域，使用

   app.use(function(req, res, next){
         res.header('Access-Control-Allow-Origin', '*');
         res.header('Access-Control-Allow-Headers','X-Request-With');
         next();
   });

默认情况下，swfupload是不支持跨域上传文件的，如果需要跨域上传，需要在上传服务器的根目录下放置一个 crossdomain.xml 的文件，文件内容设置为相应的权限即可。如：

<?xml version="1.0"?>
<!DOCTYPE cross-domain-policy SYSTEM "http://www.adobe.com/xml/dtds/cross-domain-policy.dtd">

这一策略对于JavaScript代码能够访问的页面内容做了很重要的限制，即JavaScript只能访问与包含它的文档在同一域下的内容。

JavaScript这个安全策略在进行多iframe或多窗口编程、以及Ajax编程时显得尤为重要。根据这个策略，在baidu.com下的页面中包含的JavaScript代码，不能访问在google.com域名下的页面内容；甚至不同的子域名之间的页面也不能通过JavaScript代码互相访问。对于Ajax的影响在于，通过XMLHttpRequest实现的Ajax请求，不能向不同的域提交请求，例如，在abc.example.com下的页面，不能向def.example.com提交Ajax请求，等等。

然而，当进行一些比较深入

利用 canvas 取得图片的data，如果 img.src是来自其它域名的图片，浏览器便会禁止执行
例如代码：

<canvas id="example" width="300" height="300">
	This text is displayed if your browser does not support HTML5 Canvas.
</canvas>

做前端的，用Ajax获取数据，是常有的事情，同域下自然没问题了，如果是不同域获取数据，浏览器就有个同源策略的限制。

如图：

...