同源政策

同源策略是一种浏览器安全功能，它限制一个源上的文档和脚本如何与另一源上的资源交互。

浏览器可以同时加载和显示来自多个站点的资源。您可能同时打开多个选项卡，或者一个网站可以嵌入来自不同网站的多个iframe。如果这些资源之间的交互没有限制，并且脚本被攻击者破坏，则脚本可能会暴露用户浏览器中的所有内容。

同源策略通过阻止对从不同源加载的资源的读取访问来防止这种情况发生。“但是等一下，”你说，“我一直从其他来源加载图像和脚本。”浏览器允许一些标签嵌入来自不同来源的资源。此策略主要是一个历史工件，可能会使您的网站暴露于使用iframe的点击劫持等漏洞。您可以使用内容安全策略限制这些标记的跨来源读取。

什么被认为是同源的？

origin 由schema（也称为协议，例如HTTP或HTTPS）、端口（如果已指定）和主机定义。当这三个URL对于两个URL都相同时，它们被认为是同源的。例如http://www.example.com/foo与同源http://www.example.com/bar但不是https://www.example.com/bar因为schema不同。