XHR utilise CORS, mais c'est parfaitement transparent pour la personne qui l'utilise. Évidemment, il faut que le service web soit compatible.