2016-12-16 5 views
6

मैंने वेब पर थोड़ा सा शोध किया है और एसओपी के बारे में कुछ प्रश्नों के माध्यम से खोज की है और यह किस तरह के दुरुपयोग को कम करता है, लेकिन अधिकांश उत्तर चोरी किए गए प्रमाण-पत्रों को रोकने पर केंद्रित हैं। मुझे यह अर्थपूर्ण लग रहा है।वही मूल नीति क्यों प्रतिक्रिया प्राप्त करने से रोकती है?

मुझे क्या समझ में नहीं आता है कि क्यों एसओपी नियमों के बाद ब्राउज़र कुकी और स्थानीय स्टोरेज एक्सेस को अवरुद्ध करने के बजाय प्रतिक्रिया को सीधे अवरुद्ध करता है।

दूसरे शब्दों में, यदि कुकीज़ और स्थानीय संग्रहण मौजूद नहीं है, तो क्या अभी भी प्रतिक्रियाएं पढ़ने को रोकने की आवश्यकता होगी? संभवतः यह पहले से ही <img>, <script>, और के साथ कुछ डिग्री के साथ होता है।

उत्तर

3

Mozilla Developer Network के अनुसार:

एक ही मूल नीति को प्रतिबंधित करता है कि कैसे एक दस्तावेज़ या स्क्रिप्ट एक मूल से भरी हुई एक और मूल से एक संसाधन के साथ बातचीत कर सकते हैं। यह संभावित दुर्भावनापूर्ण दस्तावेज़ को अलग करने के लिए एक महत्वपूर्ण सुरक्षा तंत्र है।

RFC 6454 के अनुसार:

हालांकि उपयोगकर्ता एजेंट समूह के मूल में, नहीं में हर संसाधन एक मूल एक ही अधिकार ( शब्द "अधिकार" की सुरक्षा अर्थ में किया जाता है यूआरआई, में नहीं [आरएफसी 3 9 86] भावना)। उदाहरण के लिए, एक छवि निष्क्रिय सामग्री है, इसलिए, छवि का अर्थ मूल में उपलब्ध वस्तुओं और संसाधनों तक पहुंच नहीं है। इसके विपरीत, एक HTML दस्तावेज़ में का पूर्ण अधिकार होता है, और दस्तावेज़ों के भीतर स्क्रिप्ट (या आयात किए गए) अपने संसाधन में प्रत्येक संसाधन तक पहुंच सकते हैं।

आपके प्रश्न का उत्तर देने के लिए, भले ही कुकीज़ और स्थानीय संग्रहण मौजूद न हों, दस्तावेज़ के संदर्भ में अज्ञात स्क्रिप्ट निष्पादित करना अभी भी खतरनाक होगा। ये स्क्रिप्ट एक ही आईपी के साथ एक्सएचआर अनुरोधों को अधिकृत स्क्रिप्ट के रूप में जारी कर सकती हैं और बुरी तरह व्यवहार कर सकती हैं।

संबंधित मुद्दे