在本地主机上运行时不执行JSONP回调

这很奇怪,我想知道是否有人能解释为什么会这样。

基本上,我一直在努力测试JSONP,以便实现其他站点可以使用的JSONWeb服务。我正在本地主机上进行开发——特别是Visual Studio 2008和Visual Studio 2008的内置Web服务器。

因此,作为一个带有jquery的jsonp测试运行,我实现了以下功能:

$().ready(function() {
  debugger;
  try {
    $.getJSON("<%= new Uri(Request.Url, "/").ToString() %>XssTest?callback=?", function(data) {
        alert(data.abc);
    });
  } catch (err) {
    alert(err);
  }
});

在服务器上……

<%= Request["callback"] %>({abc : 'def'})

因此,最终的结果是我在服务器上设置了一个断点,并且在客户端脚本和服务器上的第一个“调试器”语句上都得到了断点。在页面加载之后,实际上正在调用JSONP URL。这很管用。

我遇到的问题是回调永远不会执行。我在IE8和火狐3.5中都测试过这个。没有人会调用回调。也从未到达catch(err)。什么都没发生!

我在这个问题上已经坚持了一个星期,甚至在telnet上的指定端口上测试了一个手动键入的HTTP请求,以确保服务器正在返回格式…

callbackfn({abc : 'def'})

…就是这样。

然后我突然意识到,如果我用一个全球化器(“.”)将主机名从localhost更改为localhost,那该怎么办,即 http://localhost.:41559/ 而不是 http://localhost:41559/ (是的,在任何主机名中添加一个点是合法的,对于DNS来说 global:: 是到c名称空间)。然后成功了!当我刚添加一个点时,InternetExplorer和Firefox3.5最终向我显示了一条警告消息。

所以这让我想知道,这是怎么回事?为什么后期脚本标记的生成会使用Internet主机名而不是纯本地主机?或者这是正确的问题?

显然,这是出于安全原因而实现的,但是他们试图保护什么??而且,通过让它与一个点一起工作,我是否只是在这个安全特性中暴露了一个安全漏洞?

顺便说一句,我的hosts文件在为其他主机更改时,与localhost没有什么特别的关系;默认的127.0.0.1/::1仍然存在,下面没有覆盖。

随访: 为了本地开发的目的,我增加了:

127.0.0.1   local.mysite.com

…到my hosts文件,然后将以下代码添加到my global.asax:

protected void Application_BeginRequest(object sender, EventArgs e)
{
    if (Request.Headers["Host"].Split(':')[0] == "localhost")
    {
        Response.Redirect(
            Request.Url.Scheme
            + "://"
            + "local.mysite.com"
            + ":" + Request.Url.Port.ToString()
            + Request.Url.PathAndQuery
            , true);
    }
}