我们通常提到跨域问题的时候,相信大家首先会想到的是 CORS
(跨源资源共享),其实 CORS
只是众多跨域访问场景中安全策略的一种,类似的策略还有:
COEP: Cross Origin Embedder Policy
:跨源嵌入程序策略COOP: Cross Origin Opener Policy
:跨源开放者政策CORP: Cross Origin Resource Policy
:跨源资源策略CORB: Cross Origin Read Blocking
:跨源读取阻止
COEP、COOP
这两个新策略我已经在前面的文章中介绍过了,感兴趣的可以看新的跨域策略:使用COOP、COEP为浏览器创建更安全的环境
今天,我来给大家介绍一下 CORB: Cross Origin Read Blocking
(跨源读取阻止)
站点隔离
![025dc4d18afd1ca289a430d47da1cfdb.png](https://i-blog.csdnimg.cn/blog_migrate/817604254da37c2cff856da767d363c5.png)
互联网是一个非常复杂多样的环境,我们可以在上面做各种事情,有的时候我们在上面存钱、有的时候在上面看视频,但是你肯定不希望看视频的网站知道你存了多少钱,所以在浏览器中不同来源的站点不能互相访问,我们熟悉的另一个名称是:同源策略。
但是很多恶意网站会通过各种巧妙的手段绕过这个限制,站点隔离是 Chrome
中的一项安全功能,它提供了额外的防护措施,可以降低此类攻击成功的可能性。
它可以确保始终将来自不同网站的页面置于不同的流程中,每个流程都在沙箱中运行,以限制流程的执行范围。它还阻止了从其他站点接收某些类型的敏感数据的过程。
跨域读取阻止
即使所有不同源的页面都处于自己单独的进程中,页面仍然可以合法的请求一些跨站的资源,例如图片和 JavaScript
脚本,有些恶意网页可能通过
元素来加载包含敏感数据的 JSON
文件:
"https://your-bank.example/balance.json">
![19056d578476187bf64610cb09f221a6.png](https://i-blog.csdnimg.cn/blog_migrate/b43fd78b6d2ced6a50c3c211bfec6f9e.png)
如果没有 站点隔离
,则 JSON
文件的内容会保存到渲染器进程的内存中,此时,渲染器会注意到它不是有效的图像格式,并且不会渲染图像。但是,攻击者随后可以利用 Spectre
之类的漏洞来潜在地读取该内存块。
Spectre
漏洞我也在这片文章介绍过了 新的跨域策略:使用COOP、COEP为浏览器创建更安全的环境
攻击者可以使用
而不是使用 来将敏感数据提交到内存: