浏览器的同源策略（web前端黑客技术揭秘总结）

浏览器的同源策略
概念：不同域的客户端脚本在没有明确授权的情况下，不能读写对方的资源
1.同域不同域：
同协议，同域名，同端口相同才同域
通常说的同域就是同源
2.客户端脚本
客户端脚本主要指javascript和actionscript（flash的脚本语言）以及二者都遵循的ECMAScript脚本标准。Flash提供通信接口，使得两个脚本语言可以方便的通信。客户端的攻击以javascript最广泛
3.客户端授权现象
例如：HTML5新标准中提到关于AJAX跨域访问的情况，默认情况下是不允许跨域访问的，只有目标站点（假如是http://www.zhaoge.com）明确返回HTTP响应头：

Access-Control-Allow-Origin:http://www/evil.com

那么www.evil.com站点上的客户端脚本才有权通过AJAX技术对www.zhaoge.com上的数据进行读写操作
（注：AJAX是Asynchronous javascript And XML的缩写，可让数据进行异步传输，常见使用场景：对网页的局部数据进行更新时，不需要刷新整个网页，以节省带宽资源）
4.资源
资源是个广泛的概念，只要是数据都可认作资源，例如包括HTTP头，DOM树，FLASH cookies等。
注：DOM全称是Document Object Model,即文档对象模型，就是浏览器将HTML/XML这样的文档抽象成一个树形结构，方便javascript对标签内容及属性进行读写操作

总结：同源策略重要性：如果没有同源策略，当你登录Gmail邮箱时再打开另一个站点，这个站点的javascript就可以跨域读取你的Gmail数据，那么web还有隐私可言吗？