IT資格用語解説応用情報技術者試験・アプリケーションセキュリティ
Same Origin Policy
更新日:
用語解説
Same Origin Policy（同一オリジンポリシー）は、あるサイトから読み込んだスクリプトが、別のオリジンのデータにアクセスすることを制限するブラウザのしくみです。
■ 試験で押さえるポイント
オリジンは、スキーム（http・https）、ホスト名、ポート番号の3つの組合せです。
3つがすべて同じときだけ、同じオリジンとみなします。
別のオリジンのデータを使う必要があるときは、サーバ側がCORSで明示的に許可します。
比べるURL（基準 https://example.com/a） | 判定 | 理由 |
|---|---|---|
https://example.com/b/c | 同一オリジン | スキーム・ホスト・ポートが同じ |
http://example.com/a | 別オリジン | スキームが違う |
https://www.example.com/a | 別オリジン | ホストが違う |
https://example.com:8443/a | 別オリジン | ポートが違う |
■ 過去問での着眼点
罠のサイトのスクリプトが、ログイン中の別のサイトの情報を読み取ることを防ぎます。
例: https://a.example のスクリプトは、http://a.example（スキームが違う）の応答を読めません。