本文旨在解决firefox os应用程序中遇到的xmlhttprequest跨域请求阻塞问题。通过深入讲解firefox os特有的`mozsystem: true`标志在xmlhttprequest中的应用，以及相应的清单文件权限配置，本教程将指导开发者如何使特权应用能够绕过标准的跨域资源共享（cors）限制，实现安全的跨站数据通信。此方法适用于firefox os的系统级xhr能力，无需服务器端进行复杂的cors配置即可解决客户端的阻塞问题。
理解跨域请求阻塞（CORS）
跨域资源共享（CORS）是一种安全机制，旨在防止恶意网站未经授权地访问另一个域的资源。当Web页面上的JavaScript代码尝试向不同源（域名、协议或端口不同）的服务器发起请求时，浏览器会执行同源策略（Same-Origin Policy），通常会阻塞此类请求，除非服务器明确允许。
在Firefox OS应用开发中，即使后端服务器已配置Access-Control-Allow-Origin: *来允许所有来源访问，前端的XMLHttpRequest请求仍然可能遇到“Cross-Origin Request Blocked”错误。这通常发生在特权（Privileged）或系统（System）级别的Firefox OS应用中，它们有自己一套更为严格或特殊的安全模型，需要特定的客户端配置来处理跨域请求。
Firefox OS特有解决方案：使用 mozSystem: true XHR
为了在Firefox OS特权应用中成功发起跨域XMLHttpRequest请求，我们需要利用Firefox OS平台提供的特殊功能：mozSystem: true 标志。
mozSystem: true 的作用
将mozSystem: true设置为XMLHttpRequest的构造函数参数，允许应用程序进行跨站连接，而无需服务器通过CORS机制明确选择加入。这意味着，即使服务器没有发送CORS相关的HTTP头（例如Access-Control-Allow-Origin），Firefox OS应用也能绕过客户端的同源策略限制。
然而，使用此标志有一些重要的前提条件和限制：
- 特权应用要求：此功能仅适用于特权（Privileged）或经过审核的（Reviewed）Firefox OS应用程序。它不适用于普通的Web页面或非特权应用程序。
- 匿名请求：使用mozSystem: true时，必须同时满足mozAnon: true的要求。这意味着请求不能发送任何用户凭据，例如Cookies、HTTP认证信息等。通常，当mozSystem: true被设置时，mozAnon: true会隐式地被激活或强制执行。
修改 XMLHttpRequest 初始化代码
要启用此功能，您需要修改JavaScript中XMLHttpRequest对象的创建方式，如下所示：
var message = "content";
var request = new XMLHttpRequest({mozSystem: true}); // 关键更改：添加 {mozSystem: true}
request.open('POST', 'http://localhost:8080/msgs', true);
request.onload = function () {
if (request.status >= 200 && request.status < 400) {
// 请求成功处理
var data = JSON.parse(request.responseText);
console.log(data);
} else {
// 服务器返回错误
console.log("服务器错误:", request.status);
}
};
request.onerror = function () {
// 连接错误
console.log("连接错误");
};
request.send(message);应用程序清单文件（Manifest）配置
除了修改JavaScript代码，使用mozSystem: true功能还需要在应用程序的manifest.webapp文件中声明相应的权限。这是Firefox OS安全模型的一部分，确保应用程序仅在明确授权的情况下才能使用敏感功能。
您需要在manifest.webapp文件的permissions部分添加systemXHR权限：
{
"name": "My Firefox OS App",
"description": "A sample Firefox OS application.",
"launch_path": "/index.html",
"developer": {
"name": "Your Name",
"url": "http://yourdomain.com"
},
"permissions": {
"systemXHR": {}, // 声明使用系统级XMLHttpRequest的权限
// 可以根据需要添加其他权限，例如：
// "geolocation": {},
// "alarms": {}
},
"type": "privileged" // 确保您的应用类型为特权应用
}请确保您的应用程序类型（type字段）被设置为privileged，因为systemXHR权限通常只授予特权应用。
后端服务配置（推荐）
虽然mozSystem: true在客户端层面绕过了CORS检查，但为了服务的通用性和兼容性，后端服务仍然配置标准的CORS头是一种良好的实践。特别是当您的后端服务可能被其他标准Web客户端（非Firefox OS特权应用）访问时，服务器端的CORS配置是必不可少的。
以下是一个Go语言后端设置CORS头的示例，它允许所有来源访问：
package main
import (
"encoding/json"
"fmt"
"io/ioutil"
"log"
"net/http"
"google.golang.org/appengine"
"google.golang.org/appengine/datastore"
)
// Message 结构体示例
type Message struct {
Content string
Date string // 假设日期为字符串格式
}
func handleMessageQueue(w http.ResponseWriter, r *http.Request) {
// 关键：设置Access-Control-Allow-Origin头，允许所有来源访问
w.Header().Set("Access-Control-Allow-Origin", "*")
// 根据需要设置其他CORS头，例如允许的方法和头
w.Header().Set("Access-Control-Allow-Methods", "POST, GET, OPTIONS")
w.Header().Set("Access-Control-Allow-Headers", "Content-Type")
// 处理预检请求（OPTIONS方法）
if r.Method == "OPTIONS" {
w.WriteHeader(http.StatusOK)
return
}
if r.Method == "POST" {
c := appengine.NewContext(r)
body, err := ioutil.ReadAll(r.Body)
if err != nil {
c.Errorf("Error reading request body: %v", err)
http.Error(w, "Failed to read request body", http.StatusInternalServerError)
return
}
defer r.Body.Close()
// 假设body是需要存储的内容
auth := string(body) // 原始示例中body直接被转换为auth，这里仅作示意
_ = auth // auth变量未使用，避免编译警告
// 示例：查询数据存储
q := datastore.NewQuery("Message").Order("-Date")
var msg []Message
_, err = q.GetAll(c, &msg) // GetAll返回key和err，此处仅检查err
if err != nil {
c.Errorf("fetching msg: %v", err)
http.Error(w, "Failed to fetch messages", http.StatusInternalServerError)
return
}
w.Header().Set("Content-Type", "application/json")
jsonMsg, err := json.Marshal(msg)
if err != nil {
c.Errorf("Error marshalling JSON: %v", err)
http.Error(w, "Failed to marshal JSON response", http.StatusInternalServerError)
return
}
fmt.Fprint(w, string(jsonMsg))
return
}
// 对于非POST请求，返回方法不允许
http.Error(w, "Method Not Allowed", http.StatusMethodNotAllowed)
}
func main() {
http.HandleFunc("/msgs", handleMessageQueue)
log.Fatal(http.ListenAndServe(":8080", nil))
}请注意，在Go后端代码中，除了设置Access-Control-Allow-Origin，通常还需要处理HTTP OPTIONS方法，这是CORS预检请求的一部分。上述代码已补充了对OPTIONS方法的处理。
重要注意事项
- 安全性：mozSystem: true赋予了应用程序进行跨域请求的强大能力，这绕过了Web平台标准的安全机制。因此，仅应在您完全信任且经过严格审查的特权应用中使用此功能。
- 适用性：此解决方案专为Firefox OS的特权应用设计，不适用于普通的Web页面或非Firefox OS环境。
- 凭据：记住，使用mozSystem: true时，应用程序无法发送任何用户凭据。如果您的应用需要发送Cookies或HTTP认证信息，则此方法不适用，您需要寻找其他CORS解决方案（例如，确保服务器正确设置CORS头，并且客户端不使用mozSystem: true，而是依赖标准的CORS机制）。
总结
在Firefox OS特权应用中处理XMLHttpRequest跨域请求阻塞问题，核心在于利用平台提供的mozSystem: true标志和相应的systemXHR清单权限。通过在XMLHttpRequest构造函数中添加{mozSystem: true}并在manifest.webapp中声明systemXHR权限，您的应用将能够绕过客户端的同源策略限制，实现与不同源服务器的通信。同时，为了服务的通用性和兼容性，建议后端服务也遵循标准的CORS配置。正确理解和应用这些机制，能够帮助开发者构建功能强大且安全的Firefox OS应用程序。
