JavaScript跨域訪問的限制主要來自于瀏覽器的同源策略。同源策略（Same-origin policy）是瀏覽器安全的基石，它規定了一個網頁上的腳本只能訪問與該網頁具有相同協議、域名和端口號的資源。具體來說，同源策略要求兩個資源必須滿足以下條件才被認為是同源的：
www.example.com 和 example.com 是同源的，但 www.example.com 和 sub.example.com 不是同源的。由于同源策略的限制，JavaScript無法直接訪問不同源的資源。然而，有時我們需要跨域訪問資源，這時可以使用以下方法：
Access-Control-Allow-Origin頭來指定允許訪問的源。<script>標簽沒有跨域限制的特點。服務器返回的數據會被包裹在一個函數調用中，客戶端需要提前定義好這個函數。需要注意的是，跨域訪問可能會帶來安全風險，因此在實際應用中需要謹慎使用上述方法，并確保數據傳輸的安全性。
