同源策略

同源策略（）是指在Web浏览器中，允許某个网页腳本访问另一個网页的数据，但前提是這两个网页必須有相同的URI、主机名和端口号，一旦兩個網站滿足上述條件，這兩個網站就被認定為具有相同來源。此策略可防止某个网页上的恶意脚本通过该页面的文档对象模型访问另一网页上的敏感数据。 

同源策略对Web应用程序具有特殊意义，因为Web应用程序广泛依赖于HTTP cookieIETF [rfc:6265 HTTP State Management Mechanism, Apr, 2011]来維持用户会话，所以必须將不相关網站严格分隔，以防止丢失数据洩露。 

值得注意的是同源策略仅适用于脚本，这意味着某網站可以通过相应的HTML标签访问不同來源網站上的图像、CSS和动态加载脚本等资源。而跨站请求伪造就是利用同源策略不适用于HTML标签的缺陷。

 相同來源網站舉例 
下表列出哪些URL與URL http://www.example.com/dir/page.html 屬於相同來源： 
+ URL 結果 原因 http://www.example.com/dir/page2.html  只有路径不同 http://www.example.com/dir2/other.html  只有路径不同 http://username:password@www.example.com/dir2/other.html  只有路径不同 http://www.example.com:81/dir/other.html  不同端口（若未標明，http:// 默認端口號為80） https://www.example.com/dir/other.html  不同协议（https和http） http://en.example.com/dir/other.html  不同域名 http://example.com/dir/other.html  不同域名（需要完全匹配） http://v2.www.example.com/dir/other.html  不同域名（需要完全匹配）

 另見 

 跨來源資源共享 
 跨網站指令碼 
 跨站请求伪造 
 污点检验
 内容安全策略

 参考文献 

 外部链接 

 相同来源策略的几种风格的详细比较 

 样本供应商提供的同源策略规范  
 HTML5规范的来源定义  
 W3C关于同一原产地政策的文章 
 RFC 6454 on The Web Origin Concept 
 博客文章：Cookie相同来源政策  
 用于内容安全政策的wordpress.org插件  
Category:网络安全