浏览器安全

同源策略：限制了来自不同源的document或者脚本在没有授权的情况下对当前document的读取和设置。
影响源的因素有：协议，host，子域名，端口
<script><image><iframe><link>等标签可以不受到同源策略的限制
DOM、Cookie、XMLHttpRequest受到同源策略的限制，此外，浏览器加载第三方插件例如Flash、Java、Applet、Sliverlight、Google Gears等都有自己的同源控制策略，如flash通过目标网站提供的crossdomain.xml文件判断是否允许当前源的flash跨站访问目标资源。
但攻击者可以上传crossdomain.xml文件来控制flash的行为，在flash9之后的版本，加入了MIME检测，即content-type来检测以确认crossdomain.xml是否合法，content-type定义网络文件的类型和网页的编码，决定浏览器将以什么类型什么编码去读取这个文件。同源策略不是绝对的安全，可以绕过，如IE 8的CSS跨域漏洞