Same-Origin Policy
同一生成元ポリシーはブラウザセキュリティの基盤であり、スクリプトによる他の生成元の DOM・Cookie・ストレージへのクロスオリジンな読み書きを禁止して、悪意あるサイトが別の生成元のデータを操作することを防ぐ。
目的
悪意のあるページのスクリプトが他の生成元の機密データへアクセスできないようにする、Web セキュリティの基礎となる分離機構である。
メカニズム
同一生成元とは、プロトコル・ホスト・ポートがすべて一致することを指す。スクリプトは同一生成元の DOM のみ読み書きでき、同一生成元の AJAX はレスポンスを読み取れる。クロスオリジンでは CORS の許可が必要である。img/script タグはクロスオリジンの読み込み自体は可能であるが、内容は読み取れない（img の canvas は制限される）。
ユースケース
- Web セキュリティの基盤
- クロスオリジン分離
- CORS の基礎