Tại sao thẻ HTML SCRIPT không tuân theo cùng chính sách gốc

Question

Tôi đang đặt câu hỏi này bởi vì chúng tôi sẽ phát triển một ứng dụng được cho là chia sẻ dữ liệu gốc xuyên qua javascript. Một giải pháp có thể có vẻ là JSONP vì nó sử dụng các thẻ SCRIPT kéo dữ liệu từ các miền khác. Tuy nhiên, tôi muốn tránh tình huống mà chúng tôi thực hiện mã tuyệt vời của chúng tôi trên giả định rằng thẻ SCRIPT không phải là đối tượng bị sop và tại một số trình duyệt điểm cấm chức năng này.

Ai có thể làm sáng tỏ lý do cho thẻ SCRIPT cho phép yêu cầu miền chéo?

Answer 1

Đó là lý do tương tự tại sao bạn có thể sử dụng (không đọc, như trong tải tệp nội dung) kịch bản, phong cách và hình ảnh tổ chức từ các miền khác.

---

Tôi đọc the spec regerding scripts và không nêu rõ lý do tại sao. Tất cả điều đó nói là:

Nếu src có giá trị URI, tác nhân người dùng phải bỏ qua nội dung của phần tử và truy xuất tập lệnh qua URI.

lấy [và thực hiện]

Answer 2

Tôi cho rằng this draft tựa đề "Nguyên tắc của Same-Origin chính sách" giải thích (mặc dù thời gian ngắn) những gì là khá nhiều trong đầu của tất cả mọi người:

Về nguyên tắc, người sử dụng các đại lý có thể xử lý mọi URL dưới dạng hiệu trưởng riêng biệt và tách riêng từng tài liệu khỏi mọi URL khác trừ khi tài liệu chỉ rõ rằng URL đó tin cậy URL đó. Thật không may, thiết kế này là cồng kềnh cho các nhà phát triển bởi vì các ứng dụng web thường bao gồm một số diễn xuất tài nguyên trong buổi hòa nhạc.

Như một phép tính xấp xỉ, tác nhân người dùng nhóm các URL lại với nhau thành các miền bảo vệ được gọi là nguồn gốc. Cụ thể, hai URL là một phần của cùng một nguồn gốc (tức là, đại diện cho cùng một hiệu trưởng) nếu chúng có cùng sơ đồ, máy chủ và cổng.

Tóm lại: khó xây dựng Web hơn nếu mọi thứ đều tuân theo SOP.

Answer 3

Lý do là do di sản. Nó được xây dựng theo cách đó nhiều năm trước và nếu nó thay đổi ngay bây giờ, quá nhiều trang web sẽ thất bại. Ngoài ra, các tác động an ninh cũng được biết đến, vì nó đã tồn tại quá lâu.