Same-origin policy (SOP)

La same-origin policy (SOP) è una regola di sicurezza del browser. Limita il modo in cui un documento o uno script può interagire con risorse di un’altra origine. Per i normali indirizzi web, l’origine è determinata da protocollo, nome host e porta. In questo modo i contenuti di siti diversi vengono separati.

Distinguere cambio di percorso e di origine

Un portale fittizio usa https://portal.example/overview e https://portal.example/settings. I due indirizzi hanno la stessa origine: cambia solo il percorso. L’API a https://api.example/projects ha invece un nome host diverso e quindi un’altra origine. Nessun servizio è stato contattato a questi indirizzi di esempio.

Un’origine comune non significa che ogni persona autenticata possa usare tutti i progetti o le impostazioni. L’applicazione deve continuare a verificarlo.

Una richiesta non implica sempre accesso in lettura

La SOP non blocca ogni richiesta verso un’altra origine. A seconda del tipo, una richiesta può essere inviata mentre lo script non può leggerne la risposta. MDN distingue quindi, fra le altre interazioni, invio, incorporamento e lettura.

Con CORS, il server di destinazione può stabilire quali altre origini possano accedere alle risposte nel browser. Questo permesso non sostituisce autenticazione e controlli di autorizzazione sul server. Isolamento del browser e accesso ai dati aziendali restano compiti diversi.

Fonti

• MDN — Same-origin policy