Web系や機械学習を勉強中。医療におけるIT活用に興味があります。セキュリティを考える上で基本的な考え方です。サービスにとっては避けては通れない話です。加えて、最近ではSPAの台頭により自前のAPIをclientから叩かせるケースが増加していると思いますが、その場合でも意識しなければならないことがあります。ちなみに、「生成元」は少し奇妙に聞こえるので、「オリジン」と呼び、「同一オリジンポリシー」と呼ぶ場合もあるそうです。ファイル)を取得しそれをレンダリングします。一度取得したらそれっきりです。何か追加で定期的にデータを取りに行ったりすることはありません。ボタンを押せば画面遷移はしますが、それは新しくページを取りに行っているだけです。ページが増えています。Application)について調べてみたこのような目的で行われるアクセスは、もとのページとサーバーが同じ(後述しますが正確には同一オリジン)です。ブラウザもこれについては特に制限しません。異なるサーバーへのアクセス(クロスオリジン(後述))だったらどうでしょう。ここで問題なのは、アクセスするのはサーバーからではなくブラウザからだということです。画面を取得できてしまうことです。(サーバーからのアクセスなら問題のない話です。パスワードを渡さなければよいからです。逆に、ブラウザが取得するなら問題ないだろうと考える人もいるかも知れません。用いて元のサーバーに送ることは可能なはずです。)ブラウザとしてはこれを認めるわけには行きませんので、ブロックします。異なるオリジンへの干渉をブラウザレベルで防ぐことでユーザにとってのセキュリティを担保するための仕組みなのです。つがすべて一致する組を同一とみなす。区別される)ポートですから、以下のいかなる組み合わせも異なるオリジンとみなされます。http://support.cosnomi.com/http://blog.cosnomi.com/https://support.cosnomi.com/http://support.cosnomi.com:8080/以下のいかなる組み合わせも同一オリジンです。https://support.cosnomi.com/https://support.cosnomi.com/maintenance/https://support.cosnomi.com:80/繰り返しになりますが、アクセス元とアクセス先が同一オリジンならブラウザはブロックしません。同一オリジンでないなら、ブラウザはそのアクセスに制限をかけることになります。その制限について見ていきましょう。何が出来て何が出来ないか異なるオリジンから来たデータについてブラウザはどのような制限を行うのでしょうか。