Что такое same-origin policy?

Question

Accepted Answer

## Как это устроено
**Same-origin policy (SOP)** — браузерное правило безопасности: скрипт с одного **origin** не может свободно читать данные другого origin (DOM, ответ fetch/XHR и т.д.).

**Origin** = схема + хост + порт  
`https://a.com:443` ≠ `http://a.com` ≠ `https://a.com:444` ≠ `https://b.com`

---

## Что ограничивается

- Чтение чужого DOM в iframe (если origin другой).
- Чтение тела ответа `fetch` на другой origin **без** CORS-разрешения.
- Чтение большинства «чужих» клиентских хранилищ.

Отправить «простой» запрос иногда можно, но **прочитать ответ** — только с согласия сервера (CORS).

---

## Как легально пересекать границы

1. **CORS** — заголовки `Access-Control-Allow-Origin` и др.
2. **postMessage** между окнами.
3. Прокси на своём бэкенде.
4. JSONP — устаревший хак, не для новых систем.

```js
// Без CORS браузер заблокирует чтение ответа
const res = await fetch("https://other.example/api");
```

**Итог:** SOP защищает пользователя от кражи данных сайтом A у сайта B; обход — только явными безопасными механизмами (CORS, postMessage…).