Same-Origin Policy
Die Same-Origin-Policy ist der Grundpfeiler der Browsersicherheit: Sie untersagt Skripten das ursprungsübergreifende Lesen und Schreiben von DOM, Cookies und Speicher und verhindert so, dass bösartige Seiten Daten anderer Ursprünge manipulieren.
Zweck
Bösartige Seitenskripte am Zugriff auf sensible Daten anderer Ursprünge hindern; der grundlegende Isolationsmechanismus der Websicherheit.
Mechanismus
Gleicher Ursprung bedeutet identisches Protokoll, identischer Host und identischer Port. Skripte dürfen nur DOM desselben Ursprungs lesen und schreiben; AJAX-Anfragen gleichen Ursprungs dürfen Antworten lesen. Ursprungsübergreifend ist eine CORS-Freigabe nötig. img/script dürfen fremde Ressourcen laden, deren Inhalt bleibt aber unlesbar (img-Canvas ist eingeschränkt).
Anwendungsfälle
- Grundlage der Websicherheit
- Isolierung zwischen Ursprüngen
- Grundlage von CORS