同源策略

约 214 字小于 1 分钟

2026-02-26

同源指的是：两个 URL 的 协议 + 域名 + 端口 必须完全一致

同源.txt

https://time.geekbang.org/a
https://time.geekbang.org/b

不同源.txt

http://time.geekbang.org     # 协议不同
https://api.geekbang.org     # 域名不同
https://time.geekbang.org:81 # 端口不同

浏览器默认两个相同的源之间是可以相互访问资源和操作 DOM 的。两个不同的源之间若想要相互访问资源或者操作 DOM，那么就需要一套基础的安全策略的制约，这个就被称为同源策略

同源策略主要约束了三个方面：

层面	被限制的能力
DOM	不能直接操作跨源页面 DOM
数据	不能读取跨源 Cookie / LocalStorage / IndexedDB
网络	`XHR/Fetch` 默认受跨域策略约束