同源安全策略

叁歲伎倆 2022-08-21 00:28 221阅读 0赞

**转自**[点击打开链接][Link 1]

**5.3.2  同源安全策略**

同源策略（Same Origin Policy）是一个很重要的安全理念，是客户端脚本的重要的安全度量标准，其目的是防止某个文档或脚本从多个不同源进行装载。

根据这个策略，a.com域名下的JavaScript无法跨域操作b.com域名下的对象。比如，baidu.com域名下的页面中包含的JavaScript代码，不能访问google.com域名下的页面内容。

JavaScript必须严格遵循浏览器的同源策略，包括Ajax（事实上，Ajax也是由JavaScript组成）。通过XMLHttpRequest对象实现的Ajax请求，不能向不同的域提交，比如，在abc.test.com下的页面，不能向def.test.com提交Ajax请求。

这里的"同源"指的是同协议、同域名和同端口。表5-3中列举的例子能更具体地说明这一点。

表5-3 示例

<table> 
 <tbody> 
 <tr> 
 <td style="color:rgb(51,51,51)"> URL 1 </td> 
 <td style="color:rgb(51,51,51)"> URL 2 </td> 
 <td style="color:rgb(51,51,51)"> 是否允许通信 </td> 
 <td style="color:rgb(51,51,51)"> 备&nbsp;&nbsp;&nbsp;&nbsp;注 </td> 
 </tr> 
 <tr> 
 <td style="color:rgb(51,51,51)"> http://www.a.com/a.js </td> 
 <td style="color:rgb(51,51,51)"> http://www.a.com/b.js </td> 
 <td style="color:rgb(51,51,51)"> 是 </td> 
 <td style="color:rgb(51,51,51)"> 同域名 </td> 
 </tr> 
 <tr> 
 <td style="color:rgb(51,51,51)"> http://www.a.com/a.js </td> 
 <td style="color:rgb(51,51,51)"> http://www.a.com:8080/b.js </td> 
 <td style="color:rgb(51,51,51)"> 否 </td> 
 <td style="color:rgb(51,51,51)"> 同域名不同端口 </td> 
 </tr> 
 <tr> 
 <td style="color:rgb(51,51,51)"> http://www.a.com/a.js </td> 
 <td style="color:rgb(51,51,51)"> https://www.a.com/b.js </td> 
 <td style="color:rgb(51,51,51)"> 否 </td> 
 <td style="color:rgb(51,51,51)"> 同域名不同协议 </td> 
 </tr> 
 <tr> 
 <td style="color:rgb(51,51,51)"> http://www.a.com/a.js </td> 
 <td style="color:rgb(51,51,51)"> http://127.0.0.1/b.js </td> 
 <td style="color:rgb(51,51,51)"> 否 </td> 
 <td style="color:rgb(51,51,51)"> 域名与其IP均不同 </td> 
 </tr> 
 <tr> 
 <td style="color:rgb(51,51,51)"> http://www.a.com/a.js </td> 
 <td style="color:rgb(51,51,51)"> http://test.a.com/b.js </td> 
 <td style="color:rgb(51,51,51)"> 否 </td> 
 <td style="color:rgb(51,51,51)"> 主域名和子域名 </td> 
 </tr> 
 <tr> 
 <td style="color:rgb(51,51,51)"> http://www.a.com/a.js </td> 
 <td style="color:rgb(51,51,51)"> http://www.b.com/b.js </td> 
 <td style="color:rgb(51,51,51)"> 否 </td> 
 <td style="color:rgb(51,51,51)"> 不同域名 </td> 
 </tr> 
 </tbody> 
</table>

从第二行开始，网站之间的通信会受到同源策略影响，如[http://www.a.com/a.js][http_www.a.com_a.js]和[http://www.a.com:8080/b.js][http_www.a.com_8080_b.js]的端口不一致，所以之间不能通信；[http://www.a.com/a.js][http_www.a.com_a.js]和[https://www.a.com/b.js][https_www.a.com_b.js]分别使用了HTTP和HTTPS协议，HTTP、HTTPS、FTP等是属于不同的协议，所以也不能通信；而[http://www.a.com/a.js][http_www.a.com_a.js]和[http://test.a.com/b.js][http_test.a.com_b.js]虽然是相同顶级域名，但二级域名不同，所以也是不行的。

由此可见，同源策略认为来自其他任何站点的装载内容都是不安全的，如图5-11所示。

[![wKioOVKWy1LDJ98JAABIrKMWFGk170.jpg][]][wKioOVKWy1LDJ98JAABIrKMWFGk170.jpg]

这个限制十分重要。假设攻击者利用Iframe把真正的银行登录页面嵌到他的页面上，当用户使用真实的用户名、密码登录时，该页面就可以通过JavaScript读取到用户表单中的内容，这样用户名和密码信息就被泄漏了。

而运用了同源安全策略后，用户就能确保自己正在查看的页面确实来自于正在浏览的域。

然而，受到同源策略的影响，跨域资源共享就会受到制约。当进行一些比较深入的前端编程的时候，不可避免地需要进行跨域操作，这时候同源策略就显得过于苛刻。于是，开发者就想出各种各样的跨域方法，比如使用JSONP、Iframe、Flash等。虽然跨域技术能带来更多的功能，但是功能的开放也意味着安全的风险。

即便是有了浏览器沙箱和同源策略的保护，用户依然会受到黑客的各种攻击，XSS跨站脚本就是最大的威胁之一。

[Link 1]: http://book.51cto.com/art/201311/419359.htm
[http_www.a.com_a.js]: http://www.a.com/a.js
[http_www.a.com_8080_b.js]: http://www.a.com:8080/b.js
[https_www.a.com_b.js]: https://www.a.com/b.js
[http_test.a.com_b.js]: http://test.a.com/b.js
[wKioOVKWy1LDJ98JAABIrKMWFGk170.jpg]: /images/20220731/6359e335c37f430694f8f7a4c3701fe7.png