m3u8跨域访问被拒绝_浅谈跨域威胁与安全

WEB前端中最常见的两种安全风险，XSS与CSRF，XSS，即跨站脚本攻击、CSRF即跨站请求伪造,两者属于跨域安全攻击，对于常见的XSS以及CSRF在此不多谈论，仅谈论一些不太常见的跨域技术以及安全威胁。

一、 域

域，即域名对应的网站。不同的域名对应的不同的网站，相同的域名不同的端口也对应的不同的网站，因此，域，从字面意思以及实质意思都为空间，所以在web中空间即代表的是网站。

二、同源策略(SOP)

2.1 同源策略定义

同源策略限制了从同一个源加载的文档或脚本如何与来自另一个源的资源进行交互。这是一个用于隔离潜在恶意文件的重要安全机制。

同源策略必须要同时满足以下三个条件，只要有任何一个不同，都被当作是不同的域：

1、协议相同

2、域名相同

3、端口号相同

举例说明：

协议域名端口是否同源原因httpwww.a.com80 httpwww.b.com80否域名不同httpswww.a.com80否协议不同httpwww.a.com8080否端口不同

2.2 同源策略限制

同源策略限制了只有同源的脚本才会被执行，当打开一个网站的时候，会首先检查是否同源，如果非同源，在请求数据的时候，浏览器就会进行拦截报异常，拒绝访问。

三、跨域本质

跨域本质就是绕过同源策略的严格限制，安全与实用往往有时候会有一定的矛盾性，开发人员更注重的是功能的开发使用，例如有时候同二级域名下的不同三级域名需要进行一些信息数据传输时，共享一些资源时，同源策略将其限制，但是又要实现该功能，此时就诞生了一些跨越请求的技术。

四、跨域技术

本文将介绍较大范围的跨域，即从一个域到另一个域都将其归为跨域。因此，将其归结为两种情况：

1、跨域请求

2、跨域跳转

五、跨域威胁

5.1 JSONP跨域

5.1.1 jsonp跨域原理

利用

jsonp劫持