ajax - Ajax 中同源策略背后的原因是什么？

Question

为什么要制定这项政策？在我看来，这只有缺点。如果您愿意，可以通过多种方式访问​​另一个域(例如 JSONP)。如果没有这样的政策，大家岂不是会轻松很多？

但我认为创造它的人很聪明，而且他们这样做是有原因的。我想知道这个原因。

Answer 1

如上所述，同源策略不是主要是为了防御跨站脚本 (XSS)，而是为了阻止跨站请求伪造 (CSRF)。

除非其他主机明确允许，否则恶意站点不得从其他站点加载数据。

例如当我浏览 www.malicious.com 时，我不希望它能够访问我在 www.mybank.com 的并发身份验证 session ，从银行的 AJAX 界面请求我的一些数据并使用我的浏览器将其发送到 malicious.com中继。

为了绕过这一针对预期用途或公共(public)信息的限制，跨源资源共享 (CORS) 协议(protocol)已在现代浏览器中实现。