同源策略:理解拒绝读取

这是指查看页面的用户可以看到iframe的内容,但在框架页面上运行的脚本无法访问框架页面的内容。类似地考虑 <img> 标记将显示从任何来源到用户的图像,但包含 <img> 标记可能无法读取加载图像的内容。

这一点很重要,因为框架页面来自不同的来源,并且是使用来自该来源的用户cookie获取的。假设框架页面是 mail.google.com :当然,我不希望任何随机的网页仅仅通过加载到iframe中来读取收件箱的内容。然而,仅仅 显示 这个页面对我来说是无害的,这个用户恰好登录到我的邮件服务。