区块链的跨域认证是什么,区块链跨链

Answer 1

区块链是什么如何解释呢？

区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。所谓共识机制是区块链系统中实现不同节点之间建立信任、获取权益的数学算法

[1]

。

区块链（Blockchain）是比特币的一个重要概念，它本质上是一个去中心化的数据库，同时作为比特币的底层技术。区块链是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了一次比特币网络交易的信息，用于验证其信息的有效性（防伪）和生成下一个区块。

说说区块链的社会或者经济意义吧。以前的很多科技，其实都是致力在“生产力”这一块，比如说人工智能，它是生产力的一种进步。而区块链，对生产关系有很大的改进，致力的是生产关系。那么为什么这么说？

因为所谓的生产关系，其实就是人和人之间、商业伙伴之间，如何做生意。而这些东西，原来都是在人互相之间的认知过程中，并没有用什么特别的程序，把它程序化，或者量化。

比如我跟你现在是好朋友，我们就可以做生意，如果有人挑拨我们的关系，我们不是好朋友了，我们就不做生意了，即使我们做生意能够赚钱，我们也不干，因为大家互相之间已经没有任何信任了。

而区块链，它其实是由于数据都经过各方面节点的认证，同时备份，所以我的数据，是尽可能真实且肯定不能篡改的，那么既然这样，你相信我的数据，你就可以在此基础上，做一个程序编程，然后把这些数据，可以用来做什么样的商业合同、商业合作的这个“生产关系”，给程序化。这样大家就相信数据，相信算法编出来的程序，而由于你相信这个数据，相信这个程序，你就可以在这个程序上去开发各种APP，这些APP就是生产关系，就是到底去做什么生意。这个就是：区块链其实是对“生产关系”的一种重构。

什么是跨域，跨域的实现方式有哪些

跨源资源共享

通过XHR实现Ajax通信的一个主要限制,来源于跨域安全策略。默认情况下,XHR对象只能访问与包含它的页面位于同一个域中的资源。这种安全策略可以预防某些恶意行为。但是,实现合理的跨域请求对开发某些浏览器应用程序也是至关重要的。

CORS(Cross-OriginResourceSharing,跨源资源共享)是W3C的一个工作草案,定义了在必须访问跨源资源时,浏览器与服务器应该如何沟通。CORS背后的基本思想,就是使用自定义的HTTP头部让浏览器与服务器进行沟通,从而决定请求或响应是应该成功,还是应该失败。

比如一个简单的使用GET或POST发送的请求,它没有自定义的头部,而主体内容是text/plain。在发送该请求时,需要给它附加一个额外的Origin头部,其中包含请求页面的源信息(协议、域名和端口),以便服务器根据这个头部信息来决定是否给予响应。下面是Origin头部的一个示例:

如果服务器认为这个请求可以接受,就在Access-Control-Allow-Origin头部中回发相同的源信息(如果是公共资源,可以回发”*”)。例如:

如果没有这个头部,或者有这个头部但源信息不匹配,浏览器就会驳回请求。正常情况下,浏览器会处理请求。注意,请求和响应都不包含cookie信息。

IE对CORS的实现

微软在IE8中引入了XDR(XDomainRequest)类型。这个对象与XHR类似,但能实现安全可靠的跨域通信。XDR对象的安全机制部分实现了W3C的CORS规范。以下是XDR与XHR的一些不同之处。

cookie不会随请求发送,也不会随响应返回。

只能设置请求头部信息中的Content-Type字段。?不能访问响应头部信息。?只支持GET和POST请求。

这些变化使CSRF(Cross-SiteRequestForgery,跨站点请求伪造)和XSS(Cross-SiteScripting,跨站点脚本)的问题得到了缓解。被请求的资源可以根据它认为合适的任意数据(用户代理、来源页面等)来决定是否设置Access-Control-Allow-Origin头部。作为请求的一部分,Origin头部的值表示请求的来源域,以便远程资源明确地识别XDR请求。

XDR对象的使用方法与XHR对象非常相似。也是创建一个XDomainRequest的实例,调用open()方法,再调用send()方法。但与XHR对象的open()方法不同,XDR对象的open()方法只接收两个参数:请求的类型和URL。

所有XDR请求都是异步执行的,不能用它来创建同步请求。请求返回之后,会触发load事件,响应的数据也会保存在responseText属性中,如下所示。

?在接收到响应后,你只能访问响应的原始文本;没有办法确定响应的状态代码。而且,只要响应有效就会触发load事件,如果失败(包括响应中缺少Access-Control-Allow-Origin头部)就会触发error事件。遗憾的是,除了错误本身之外,没有其他信息可用,因此唯一能够确定的就只有请求未成功了。要检测错误,可以像下面这样指定一个onerror事件处理程序。

??鉴于导致XDR请求失败的因素很多,因此建议你不要忘记通过onerror事件处理程序来捕获该事件;否则,即使请求失败也不会有任何提示。

在请求返回前调用abort()方法可以终止请求:

与XHR一样,XDR对象也支持timeout属性以及ontimeout事件处理程序。下面是一个例子。

这个例子会在运行1秒钟后超时,并随即调用ontimeout事件处理程序。

?为支持POST请求,XDR对象提供了contentType属性,用来表示发送数据的格式,如下面的例子所示。

?

这个属性是通过XDR对象影响头部信息的唯一方式。其他浏览器对CORS的实现

Firefox3.5+、Safari4+、Chrome、iOS版Safari和Android平台中的WebKit都通过XMLHttpRequest对象实现了对CORS的原生支持。在尝试打开不同来源的资源时,无需额外编写代码就可以触发这个行为。要请求位于另一个域中的资源,使用标准的XHR对象并在open()方法中传入绝对URL即可,例如:

与IE中的XDR对象不同,通过跨域XHR对象可以访问status和statusText属性,而且还支持同步请求。跨域XHR对象也有一些限制,但为了安全这些限制是必需的。以下就是这些限制。

不能使用setRequestHeader()设置自定义头部。

不能发送和接收cookie。

调用getAllResponseHeaders()方法总会返回空字符串。

由于无论同源请求还是跨源请求都使用相同的接口,因此对于本地资源,最好使用相对URL,在访问远程资源时再使用绝对URL。这样做能消除歧义,避免出现限制访问头部或本地cookie信息等问题。

PreflightedReqeusts

CORS通过一种叫做PreflightedRequests的透明服务器验证机制支持开发人员使用自定义的头部、GET或POST之外的方法,以及不同类型的主体内容。在使用下列高级选项来发送请求时,就会向服务器发送一个Preflight请求。这种请求使用OPTIONS方法,发送下列头部。

Origin:与简单的请求相同。

Access-Control-Request-Method:请求自身使用的方法。

Access-Control-Request-Headers:(可选)自定义的头部信息,多个头部以逗号分隔。

以下是一个带有自定义头部NCZ的使用POST方法发送的请求。

跨源资源共享

发送这个请求后,服务器可以决定是否允许这种类型的请求。服务器通过在响应中发送如下头部与浏览器进行沟通。

Access-Control-Allow-Origin:与简单的请求相同。

Access-Control-Allow-Methods:允许的方法,多个方法以逗号分隔。

Access-Control-Allow-Headers:允许的头部,多个头部以逗号分隔。

Access-Control-Max-Age:应该将这个Preflight请求缓存多长时间(以秒表示)。

例如:

支持withCredentials属性的浏览器有Firefox3.5+、Safari4+和Chrome。IE10及更早版本都不9支持。

??

Preflight请求结束后,结果将按照响应中指定的时间缓存起来。而为此付出的代价只是第一次发送这种请求时会多一次HTTP请求。

支持Preflight请求的浏览器包括Firefox3.5+、Safari4+和Chrome。IE10及更早版本都不支持。

带凭据的请求

默认情况下,跨源请求不提供凭据(cookie、HTTP认证及客户端SSL证明等)。通过将withCredentials属性设置为true,可以指定某个请求应该发送凭据。如果服务器接受带凭据的请求,会用下面的HTTP头部来响应。

如果发送的是带凭据的请求,但服务器的响应中没有包含这个头部,那么浏览器就不会把响应交给JavaScript(于是,responseText中将是空字符串,status的值为0,而且会调用onerror()事件处理程序)。另外,服务器还可以在Preflight响应中发送这个HTTP头部,表示允许源发送带凭据的请求。

跨浏览器的CORS

即使浏览器对CORS的支持程度并不都一样,但所有浏览器都支持简单的(非Preflight和不带凭据的)请求,因此有必要实现一个跨浏览器的方案。检测XHR是否支持CORS的最简单方式,就是检查是否存在withCredentials属性。再结合检测XDomainRequest对象是否存在,就可以兼顾所有浏览器了。

?

Firefox、Safari和Chrome中的XMLHttpRequest对象与IE中的XDomainRequest对象类似,都提供了够用的接口,因此以上模式还是相当有用的。这两个对象共同的属性/方法如下。

abort():用于停止正在进行的请求。

onerror:用于替代onreadystatechange检测错误。?onload:用于替代onreadystatechange检测成功。-responseText:用于取得响应内容。

send():用于发送请求。

以上成员都包含在createCORSRequest()函数返回的对象中,在所有浏览器中都能正常使用。

其他跨域技术

在CORS出现以前,要实现跨域Ajax通信颇费一些周折。开发人员想出了一些办法,利用DOM中能够执行跨域请求的功能,在不依赖XHR对象的情况下也能发送某种请求。虽然CORS技术已经无处不在,但开发人员自己发明的这些技术仍然被广泛使用,毕竟这样不需要修改服务器端代码。

图像Ping

上述第一种跨域请求技术是使用img标签。我们知道,一个网页可以从任何网页中加载图像,不用担心跨域不跨域。这也是在线广告跟踪浏览量的主要方式。正如第13章讨论过的,也可以动态地创建图像,使用它们的onload和onerror事件处理程序来确定是否接收到了响应。

动态创建图像经常用于图像Ping。图像Ping是与服务器进行简单、单向的跨域通信的一种方式。请求的数据是通过查询字符串形式发送的,而响应可以是任意内容,但通常是像素图或204响应。通过图像Ping,浏览器得不到任何具体的数据,但通过侦听load和error事件,它能知道响应是什么时候接收到的。来看下面的例子。

这里创建了一个Image的实例,然后将onload和onerror事件处理程序指定为同一个函数。这样无论是什么响应,只要请求完成,就能得到通知。请求从设置src属性那一刻开始,而这个例子在请求中发送了一个name参数。

图像Ping最常用于跟踪用户点击页面或动态广告曝光次数。图像Ping有两个主要的缺点,一是只能发送GET请求,二是无法访问服务器的响应文本。因此,图像Ping只能用于浏览器与服务器间的单向通信。

JSONP

JSONP是JSONwithpadding(填充式JSON或参数式JSON)的简写,是应用JSON的一种新方法,在后来的Web服务中非常流行。JSONP看起来与JSON差不多,只不过是被包含在函数调用中的JSON,4就像下面这样。

JSONP由两部分组成:回调函数和数据。回调函数是当响应到来时应该在页面中调用的函数。回调函数的名字一般是在请求中指定的。而数据就是传入回调函数中的JSON数据。下面是一个典型的JSONP请求。

?这个URL是在请求一个JSONP地理定位服务。通过查询字符串来指定JSONP服务的回调参数是很常见的,就像上面的URL所示,这里指定的回调函数的名字叫handleResponse()。

JSONP是通过动态script元素来使用的,使用时可以为src属性指定一个跨域URL。这里的script元素与img元素类似,都有能力不受限制地从其他域加载资源。因为JSONP是有效的JavaScript代码,所以在请求完成后,即在JSONP响应加载到页面中以后,就会立即执行。来看一个例子。?

?这个例子通过查询地理定位服务来显示你的IP地址和位置信息。

JSONP之所以在开发人员中极为流行,主要原因是它非常简单易用。与图像Ping相比,它的优点在于能够直接访问响应文本,支持在浏览器与服务器之间双向通信。不过,JSONP也有两点不足。

首先,JSONP是从其他域中加载代码执行。如果其他域不安全,很可能会在响应中夹带一些恶意代码,而此时除了完全放弃JSONP调用之外,没有办法追究。因此在使用不是你自己运维的Web服务时,一定得保证它安全可靠。

其次,要确定JSONP请求是否失败并不容易。虽然HTML5给script元素新增了一个onerror事件处理程序,但目前还没有得到任何浏览器支持。为此,开发人员不得不使用计时器检测指定时间内是否接收到了响应。但就算这样也不能尽如人意,毕竟不是每个用户上网的速度和带宽都一样。

参考：javascript高级程序设计第21章

区块链常见的三大共识机制

区块链是建立在P2P网络，由节点参与的分布式账本系统，最大的特点是“去中心化”。也就是说在区块链系统中，用户与用户之间、用户与机构之间、机构与机构之间，无需建立彼此之间的信任，只需依靠区块链协议系统就能实现交易。

可是，要如何保证账本的准确性，权威性，以及可靠性？区块链网络上的节点为什么要参与记账？节点如果造假怎么办？如何防止账本被篡改？如何保证节点间的数据一致性？……这些都是区块链在建立“去中心化”交易时需要解决的问题，由此产生了共识机制。

所谓“共识机制”，就是通过特殊节点的投票，在很短的时间内完成对交易的验证和确认；当出现意见不一致时，在没有中心控制的情况下，若干个节点参与决策达成共识，即在互相没有信任基础的个体之间如何建立信任关系。

区块链技术正是运用一套基于共识的数学算法，在机器之间建立“信任”网络，从而通过技术背书而非中心化信用机构来进行全新的信用创造。

不同的区块链种类需要不同的共识算法来确保区块链上最后的区块能够在任何时候都反应出全网的状态。

目前为止，区块链共识机制主要有以下几种：POW工作量证明、POS股权证明、DPOS授权股权证明、Paxos、PBFT（实用拜占庭容错算法）、dBFT、DAG（有向无环图）

接下来我们主要说说常见的POW、POS、DPOS共识机制的原理及应用场景

概念：

工作量证明机制（Proofofwork），最早是一个经济学名词，指系统为达到某一目标而设置的度量方法。简单理解就是一份证明，用来确认你做过一定量的工作，通过对工作的结果进行认证来证明完成了相应的工作量。

工作量证明机制具有完全去中心化的优点，在以工作量证明机制为共识的区块链中，节点可以自由进出，并通过计算随机哈希散列的数值解争夺记账权，求得正确的数值解以生成区块的能力是节点算力的具体表现。

应用：

POW最著名的应用当属比特币。在比特币网络中，在Block的生成过程中，矿工需要解决复杂的密码数学难题，寻找到一个符合要求的BlockHash由N个前导零构成，零的个数取决于网络的难度值。这期间需要经过大量尝试计算（工作量），计算时间取决于机器的哈希运算速度。

而寻找合理hash是一个概率事件，当节点拥有占全网n%的算力时，该节点即有n/100的概率找到BlockHash。在节点成功找到满足的Hash值之后，会马上对全网进行广播打包区块，网络的节点收到广播打包区块，会立刻对其进行验证。

如果验证通过，则表明已经有节点成功解迷，自己就不再竞争当前区块，而是选择接受这个区块，记录到自己的账本中，然后进行下一个区块的竞争猜谜。网络中只有最快解谜的区块，才会添加的账本中，其他的节点进行复制，以此保证了整个账本的唯一性。

假如节点有任何的作弊行为，都会导致网络的节点验证不通过，直接丢弃其打包的区块，这个区块就无法记录到总账本中，作弊的节点耗费的成本就白费了，因此在巨大的挖矿成本下，也使得矿工自觉自愿的遵守比特币系统的共识协议，也就确保了整个系统的安全。

优缺点

优点：结果能被快速验证，系统承担的节点量大，作恶成本高进而保证矿工的自觉遵守性。

缺点：需要消耗大量的算法，达成共识的周期较长

概念：

权益证明机制（ProofofStake），要求证明人提供一定数量加密货币的所有权。

权益证明机制的运作方式是，当创造一个新区块时，矿工需要创建一个“币权”交易，交易会按照预先设定的比例把一些币发送给矿工本身。权益证明机制根据每个节点拥有代币的比例和时间，依据算法等比例地降低节点的挖矿难度，从而加快了寻找随机数的速度。

应用：

2012年，化名SunnyKing的网友推出了Peercoin（点点币），是权益证明机制在加密电子货币中的首次应用。PPC最大创新是其采矿方式混合了POW及POS两种方式，采用工作量证明机制发行新币，采用权益证明机制维护网络安全。

为了实现POS，SunnyKing借鉴于中本聪的Coinbase，专门设计了一种特殊类型交易，叫Coinstake。

上图为Coinstake工作原理，其中币龄指的是货币的持有时间段，假如你拥有10个币，并且持有10天，那你就收集到了100天的币龄。如果你使用了这10个币，币龄被消耗（销毁）了。

优缺点：

优点：缩短达成共识所需的时间，比工作量证明更加节约能源。

缺点：本质上仍然需要网络中的节点进行挖矿运算，转账真实性较难保证

概念：

授权股权证明机制（DelegatedProofofStake），与董事会投票类似，该机制拥有一个内置的实时股权人投票系统，就像系统随时都在召开一个永不散场的股东大会，所有股东都在这里投票决定公司决策。

授权股权证明在尝试解决传统的PoW机制和PoS机制问题的同时，还能通过实施科技式的民主抵消中心化所带来的负面效应。基于DPoS机制建立的区块链的去中心化依赖于一定数量的代表，而非全体用户。在这样的区块链中，全体节点投票选举出一定数量的节点代表，由他们来代理全体节点确认区块、维持系统有序运行。

同时，区块链中的全体节点具有随时罢免和任命代表的权力。如果必要，全体节点可以通过投票让现任节点代表失去代表资格，重新选举新的代表，实现实时的民主。

应用：

比特股（Bitshare）是一类采用DPOS机制的密码货币。通过引入了见证人这个概念，见证人可以生成区块，每一个持有比特股的人都可以投票选举见证人。得到总同意票数中的前N个（N通常定义为101）候选者可以当选为见证人，当选见证人的个数（N）需满足：至少一半的参与投票者相信N已经充分地去中心化。

见证人的候选名单每个维护周期（1天）更新一次。见证人然后随机排列，每个见证人按序有2秒的权限时间生成区块，若见证人在给定的时间片不能生成区块，区块生成权限交给下一个时间片对应的见证人。DPoS的这种设计使得区块的生成更为快速，也更加节能。

DPOS充分利用了持股人的投票，以公平民主的方式达成共识，他们投票选出的N个见证人，可以视为N个矿池，而这N个矿池彼此的权利是完全相等的。持股人可以随时通过投票更换这些见证人（矿池），只要他们提供的算力不稳定，计算机宕机，或者试图利用手中的权力作恶。

优缺点：

优点：缩小参与验证和记账节点的数量，从而达到秒级的共识验证

缺点：中心程度较弱，安全性相比POW较弱，同时节点代理是人为选出的，公平性相比POS较低，同时整个共识机制还是依赖于代币的增发来维持代理节点的稳定性。

什么是“区块链”？

区块链有两个含义：

1、区块链(Blockchain)是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。所谓共识机制是区块链系统中实现不同节点之间建立信任、获取权益的数学算法。

2、区块链是比特币的底层技术，像一个数据库账本，记载所有的交易记录。这项技术也因其安全、便捷的特性逐渐得到了银行与金融业的关注。

狭义来讲，区块链是一种按照时间顺序将数据区块以顺序相连的方式组合成的一种链式数据结构，并以密码学方式保证的不可篡改和不可伪造的分布式账本。

广义来讲，区块链技术是利用块链式数据结构来验证与存储数据、利用分布式节点共识算法来生成和更新数据、利用密码学的方式保证数据传输和访问的安全、利用由自动化脚本代码组成的智能合约来编程和操作数据的一种全新的分布式基础架构与计算方式。

CBP是什么认证？

区块链专业人员认证

CBP(CertifiedBlockchainProfessional)即区块链专业人员认证,涵盖最新的区块链原理与实践知识。