DOM同源政策

protocol,host,**port**組成一份doucument

子域(host)不同，不算同源: https://store.google.com/tw

協定(protocol)不同，不算同源: https://store.google.com/tw/?hl=zh-TW

端口(port)不同，不算同源: http://google.com/

同源標準並非完全限制跨來源存取，以下某些情況允許特例。

特定行為

不難發現雖然HTML tag可進行嵌入操作，但卻對於javascript、php等等語言進行了一個限制，加固了安全。

從主網域進到子網域時，根據同源政策的定義，這兩個網域屬於跨來源，正常來講會被禁止資源存取，但在Cookie這裡，可能出現了例外，子網域可能能修改主網域的Cookie作回傳。

Cookie需要將儲存的數據回傳Server

host,**path**只要相同，便被視為同源

Set-Cookie: name=value; domain=game.com   //無法共用cookie
Set-Cookie: name=value; domain=.game.com　//可以共用cookie

DOM 的同源政策對於嵌入資源沒有防範，可以用來CSRF。

同源政策沒有限制子網域去修改主網域的cookie。