javascript - 同源策略 : Understanding Deny Read

Question

This MSDN article解释了同源策略不允许读取。

具体来说，它说:

Webpage from Origin A:

• May include (execute) a frame pointed at a HTML page from “B”

• Must not be permitted to get the inner HTML of that frame

如何“包含(执行)”另一个 html 文件，而不访问其内容？

在这种情况下“包含(执行)”是什么意思？

Answer 1

这是指查看页面的用户可以看到 iframe 的内容，但框架页面上运行的脚本无法访问框架页面的内容。类似地考虑 <img>标签将向用户显示来自任何来源的图像，但包含 <img> 的页面内的脚本标签可能无法读取加载图像的内容。

这很重要，因为框架页面来自不同的来源，并且是使用该来源的用户 cookie 获取的。假设加框页面是 mail.google.com :当然，我不希望任何随机网页仅通过将其加载到 iframe 中来读取我的收件箱的内容。但是，仅仅向我(恰好登录到我的邮件服务的用户)显示该页面是无害的。