安全測試 - 同源策略

同源策略 (SOP) 是 Web 應用程式安全模型中的一個重要概念。

什麼是同源策略？

根據此策略，它允許執行在來自同一站點的頁面上的指令碼，站點可以是以下內容的組合：

• 域名
• 協議
• 埠

示例

這種行為背後的原因是安全。如果您在一個視窗中打開了 try.com，在另一個視窗中打開了 gmail.com，那麼您不希望來自 try.com 的指令碼訪問或修改 gmail.com 的內容，或者代表您在 gmail 的上下文中執行操作。

以下是來自同一源的網頁。如前所述，同一源會考慮域名/協議/埠。

• http://website.com
• http://website.com/
• http://website.com/my/contact.html

以下是來自不同源的網頁。

• http://www.site.co.uk（另一個域名）
• http://site.org（另一個域名）
• https://site.com（另一個協議）
• http://site.com:8080（另一個埠）

IE 的同源策略例外情況

Internet Explorer 對 SOP 有兩個主要的例外情況。

• 第一個與“受信任區域”相關。如果兩個域都位於高度受信任的區域，則同源策略將不完全適用。

• IE 中的第二個例外情況與埠相關。IE 不將埠包含在同源策略中，因此 http://website.com 和 http://wesite.com:4444 被認為來自同一源，並且不應用任何限制。