Политика одного источника: что такое источник и что она изолирует

Что это такое

RFC 6454 определяет источник как кортеж схемы, хоста и порта; MDN называет его «кортеж схемы/хоста/порта». https://example.com, https://example.com:8443, http://example.com и https://app.example.com — четыре разных источника; путь и строка запроса роли не играют. Политика одного источника задаёт браузерные правила взаимодействия между источниками. MDN выделяет три группы: межисточниковая запись — ссылки, перенаправления, отправка форм — обычно разрешена; межисточниковое встраивание — img, script, iframe, стили и шрифты — обычно разрешено, но встроенное содержимое непрозрачно для скрипта; межисточниковое чтение — DOM другого окна или фрейма, тело ответа fetch, хранилище другого источника — обычно запрещено. CORS — серверный механизм явного согласия, ослабляющий ограничения чтения. Cookie имеют собственную область действия: RFC 6265 отмечает, что они не обеспечивают изоляцию по порту.

Почему это важно

Благодаря этой политике враждебная страница не может загрузить ваш банк в скрытый фрейм и прочитать баланс. По той же причине законный фронтенд другого источника не может прочесть ответы вашего API, пока API это не разрешит. Из непонимания возникают две ошибки: открыть CORS для любых источников с учётными данными, потому что «браузер заблокировал», и считать политику защитой от подделки межсайтовых запросов. Второго она не обеспечивает, поскольку запись разрешена.

Как применять

• Предпочитайте один источник для приложения и API — обратный прокси под одним хостом; это убирает настройку CORS и упрощает cookie.
• Считайте поддомены чужими для скриптов и хранилища. Cookie с Domain=example.com охватывает их все, что важно, если один поддомен размещает пользовательское содержимое.
• Не ослабляйте проверку через document.domain; MDN помечает его устаревшим, поскольку он подрывает изоляцию.
• Обменивайтесь данными со встроенными сторонними фреймами через postMessage с явным целевым источником и проверяйте event.origin при получении.
• Защищайте конечные точки, изменяющие состояние, CSRF-токенами или cookie SameSite; сама политика этого не делает.
• Управляйте тем, кто может встраивать вас во фрейм, директивой CSP frame-ancestors, а тем, кто может загружать ваши подресурсы, — через Cross-Origin-Resource-Policy.

Подводные камни

При разработке http://localhost:3000 и http://localhost:5173 являются разными источниками, поэтому серверы разработки предлагают прокси. Родитель не может исследовать iframe другого источника, но может направлять его на другой адрес. Ответ, полученный с mode: "no-cors", непрозрачен: запросившая страница не может читать ни его статус, ни тело.