新手开发JS移动端应用：能否用jQuery实现外部网站登录并取数？

嘿，作为刚接触JavaScript的新手，你的想法其实很常见，但直接在前端用jQuery Ajax实现这个需求会遇到几个关键的障碍，我来一步步给你拆解：

首先要明确，直接在你的移动端JS应用里用jQuery Ajax请求外部登录接口是行不通的，主要有两个原因：

• 同源策略限制：浏览器会阻止前端脚本从不同域名（你的应用域名 vs 目标网站域名）发起的请求获取响应，这是浏览器的安全机制，防止恶意网站窃取用户数据。除非目标网站特意配置了CORS（跨域资源共享）规则允许你的域名访问，但登录这类敏感接口几乎不会开放这种权限。
• CSRF令牌验证：绝大多数登录表单都会包含一个隐藏的CSRF（跨站请求伪造）令牌（比如ASP.NET项目里的__RequestVerificationToken），服务器会验证这个令牌才会处理登录请求。但因为跨域限制，你的前端脚本根本没法读取目标登录页的DOM来获取这个令牌，自然也没法在Ajax请求里带上它。

既然前端直接请求走不通，最靠谱的办法是搭建一个自己的后端服务作为代理：

1. 你的移动端JS应用把用户的用户名和密码（注意用HTTPS传输，绝对不能明文）发送到你自己的后端接口。
2. 你的后端服务（不受浏览器同源策略限制）向目标网站的登录接口发起请求，模拟表单提交的过程：
   • 先请求目标登录页，提取页面里的CSRF令牌（如果有的话）。
   • 带着用户名、密码和CSRF令牌，POST到目标网站的登录接口。
   • 登录成功后，保存目标网站返回的会话Cookie，再用这个Cookie请求需要的数据接口。
3. 后端把获取到的数据返回给你的移动端应用。

举个简单的Node.js代理示例（用axios库）：

const axios = require('axios');
const express = require('express');
const app = express();
app.use(express.json());

app.post('/proxy-login', async (req, res) => {
  try {
    // 1. 获取登录页的CSRF令牌
    const loginPageRes = await axios.get('https://crew.urbancrewltd.com/Account/Login');
    // 这里需要用正则或者cheerio提取页面里的CSRF令牌
    const csrfTokenMatch = loginPageRes.data.match(/name="__RequestVerificationToken" value="([^"]+)"/);
    if (!csrfTokenMatch) {
      return res.status(500).send('无法获取CSRF令牌');
    }
    const csrfToken = csrfTokenMatch[1];

    // 2. 发送登录请求
    const loginRes = await axios.post('https://crew.urbancrewltd.com/Account/Login', {
      UserName: req.body.username,
      Password: req.body.password,
      __RequestVerificationToken: csrfToken
    }, {
      withCredentials: true // 保存会话Cookie
    });

    // 3. 登录成功后，请求需要的数据（替换为实际数据接口路径）
    const dataRes = await axios.get('https://crew.urbancrewltd.com/your-target-data-path', {
      withCredentials: true // 带上登录后的Cookie
    });

    res.send(dataRes.data);
  } catch (err) {
    res.status(err.response?.status || 500).send('登录或获取数据失败');
  }
});

app.listen(3000, () => console.log('代理服务运行在3000端口'));

• 绝对要使用HTTPS传输所有涉及用户凭据的请求，防止数据被窃听。
• 不要在你的应用或代理服务器里存储用户的用户名和密码，用完即丢。
• 代理服务器要做好权限控制，只允许你的移动端应用访问。
• 注意目标网站的服务条款，有些网站禁止第三方自动化登录，确保你的操作符合规定。

内容的提问来源于stack exchange，提问作者Tom