Такая же политика происхождения, казалось бы, не работает

Question

Я пытаюсь понять одну и ту же политику происхождения в деталях. С этой целью я попытался понять, как это работает с кодом (я полный noob в веб-разработке), поэтому я запустил Flask-сервер и создал домен local.com и субдомен store.local.com. Затем на странице store.html субдомена я создал iframe с src=http://local.com - без изменения document.domain недвижимости в любом виде, как указано here.

Теперь, из того, что я прочитал, я не могу это проиграть, но вместо этого он правильно показывает содержимое супердомена index.html. Я повторил эксперимент с двумя доменами на двух разных физических компьютерах, но это ничего не изменило. (Я пробовал как Firefox, так и Chrome)

Теперь я также пробовал с src=http://google.com, и это действительно останавливается на SOP. Так что в настоящий момент я в глубокой неразберихе, может ли кто-нибудь помочь мне понять это? Благодарю.

Answer 1

IFrame обычно освобождаются от той же политики происхождения.

Однако, если вы посмотрите на заголовки ответа HTTP при вызове http://google.com, вы увидите следующий заголовок:

x-frame-options:SAMEORIGIN 

Это явно tells your browser that it should prevent the page from being displayed across origins.

---

MDN describes this particular behavior:

Вот некоторые примеры ресурсов, которые могут быть встроены перекрестным происхождение:

[...]

• Все, что с <frame> и . Сайт может использовать заголовок X-Frame-Options, чтобы предотвратить эту форму взаимодействия с кросс-началом.