摘要：同源策略及跨域訪問同源策略同源策略約束了兩個域之間資源的加載方式，是一個很重要的安全機制用來隔離那些有潛在安全隱患的文檔。

同源策略（Same-origin policy）約束了兩個域之間資源的加載方式，是一個很重要的安全機制用來隔離那些有潛在安全隱患的文檔。

一個源由一個URL的協議（protocol）、主機（host）和端口（port）進行定義。如果兩個頁面擁有相同的協議、主機和端口一致的話，我們就可以稱它們為同源。下面的表格比較了不同的URL跟http://store.company.com/dir/page.html這個URL的同源情況：

同源策略控制了兩個源之間的交互，例如你使用XMLHttpRequest發起一個請求，或者使用元素加載一張圖片，就會產生兩個源之間的交互。而當兩個源不相同時，有些交互會被允許，而有些則不被允許。而不允許的情況，就是我們常說的跨域訪問問題。那什么情況下不同源的交互會被允許，什么情況下又不被允許呢？大致可以分為如下的情況：

鏈接、跳轉和表單提交這些在跨域的情況下都是被允許的。例如調用支付寶接口進行支付就是典型的跨域表單提交的場景，這種跨域的調用是被允許的。但是這個很容易被利用來進行CSRF攻擊，所以我們的表單提交需要做好這方面的防護。

跨域的資源內嵌是被允許的。下面是一些資源內容的例子：

使用加載Javascript。只有同源的腳本在語法錯誤時會顯示錯誤信息。

使用加載CSS。跨源的CSS文件要求使用正確的Content-Type 響應頭。

使用加載圖片。

使用和加載媒體文件。

使用