Same-origin-policy (SOP)

Same-origin-policyen, forkortet SOP, er en sikkerhetsregel i nettleseren. Den begrenser hvordan et dokument eller skript kan samhandle med ressurser fra en annen origin. For vanlige nettadresser bestemmes origin av protokoll, vertsnavn og port. Slik skilles innhold fra ulike nettsteder.

Skill mellom endring av sti og origin

En fiktiv portal bruker https://portal.example/overview og https://portal.example/settings. Begge adressene har samme origin: Bare stien er forskjellig. API-et på https://api.example/projects har derimot et annet vertsnavn og dermed en annen origin. Det er ikke sendt forespørsler til disse eksempeladressene.

Felles origin betyr ikke at hver innlogget person kan bruke alle prosjekter eller innstillinger. Dette må applikasjonen fortsatt kontrollere selv.

En forespørsel gir ikke alltid lesetilgang

SOP blokkerer ikke hver forespørsel til en annen origin. Avhengig av typen kan en forespørsel sendes uten at skriptet får lese svaret. MDN skiller derfor blant annet mellom sending, innbygging og lesing.

Med CORS kan målserveren fastsette hvilke andre origins som får tilgang til svar i nettleseren. Denne tillatelsen erstatter verken autentisering eller tilgangskontroll på serveren. Nettleserisolasjon og tilgang til virksomhetsdata er fortsatt ulike oppgaver.

Kilder

• MDN — Same-origin policy