Same-Origin Policy

Die Same-Origin Policy, kurz SOP, ist eine Sicherheitsregel des Browsers. Sie beschränkt, wie ein Dokument oder Skript mit Ressourcen eines anderen Origins interagieren darf. Bei normalen Webadressen wird der Origin durch Protokoll, Hostname und Port bestimmt. So werden Inhalte verschiedener Websites voneinander abgegrenzt.

Pfadwechsel und Originwechsel unterscheiden

Ein fiktives Portal verwendet https://portal.example/overview und https://portal.example/settings. Beide Adressen haben denselben Origin: Nur der Pfad unterscheidet sich. Die API unter https://api.example/projects hat dagegen einen anderen Hostnamen und damit einen anderen Origin. An diese Beispieladressen wurde keine Anfrage gesendet.

Ein gemeinsamer Origin bedeutet nicht, dass jede angemeldete Person alle Projekte oder Einstellungen verwenden darf. Das prüft die Anwendung weiterhin selbst.

Eine Anfrage ist nicht immer ein Lesezugriff

Die SOP blockiert nicht jede Anfrage an einen anderen Origin. Je nach Anfragetyp kann eine Anfrage gesendet werden, während das Skript die Antwort nicht lesen darf. MDN unterscheidet deshalb unter anderem Senden, Einbetten und Lesen.

Mit CORS kann der Zielserver festlegen, welche anderen Origins im Browser auf Antworten zugreifen dürfen. Diese Freigabe ersetzt keine Anmeldung oder Berechtigungsprüfung auf dem Server. Browserisolation und Zugriff auf die fachlichen Daten bleiben unterschiedliche Aufgaben.

Quellen

• MDN — Same-origin policy