security - 为什么 XMLHttpRequest 的同源策略

Question

为什么浏览器对 XMLHttpRequest 应用同源策略？这对开发人员来说真的很不方便，但它似乎在真正阻止黑客方面几乎没有什么作用。
有一些变通方法，它们仍然可以包含来自外部来源的 javascript(JSONP 背后的力量)。

在很大程度上相互关联的网络中，这似乎是一个过时的“功能”。

Answer 1

因为 XMLHttpRequest 传递了用户的身份验证 token 。如果用户使用基本身份验证或某些 cookie 登录到 example.com，然后访问了攻击者.com，则后一个站点可以创建一个 XMLHttpRequest 到 example.com 并对该用户具有完全授权并读取用户可以读取的任何私有(private)页面(然后转发给攻击者)。

因为在 webapp 页面中放置 secret token 是阻止简单的跨站点请求伪造攻击的方法，这意味着攻击者.com 可以在未经他们任何同意或交互的情况下执行用户可以在 example.com 上执行的任何页面操作。全局 XMLHttpRequest 是全局跨站点脚本。

(即使您有一个未通过身份验证的 XMLHttpRequest 版本，仍然存在问题。例如，攻击者可以向您的 Intranet 上的其他非公共(public)机器发出请求，并读取它可以从中下载的任何文件，这些文件可能不会<script> 标签已经遭受了这种有限形式的漏洞，但是 XMLHttpRequest 的完全可读的响应会泄漏各种文件，而不是一些可以解析为 JavaScript 的不幸制作的文件。 )