php - クライアント サイド スクリプトによる Web サイトのリクエスト = クロス サイド スクリプティング ハック。しかし、サーバーサイドスクリプトでウェブサイトをリクエストするのはハックではありません! なんで？

Question

一般に、ある Web ページのコンテンツを同じページに表示したい場合は、ajax リクエストを使用します。たとえば、AJAX を使用して別のドメインの Web ページに要求すると、クロス サイド スクリプティング エラーのために許可されません。しかし、なぜサーバー側のページからのアクセスが許可されているのでしょうか。たとえば、php で CURL を使用して任意のサイトにアクセスできます。この機能がサーバー サイド スクリプトでは問題なく、クライアント サイド スクリプトでは問題ないのはなぜですか?

Answer 1

見る：

同一オリジン ポリシー

コンピューティングでは、同一生成元ポリシーは、JavaScript などの多くのブラウザー側プログラミング言語にとって重要なセキュリティ概念です。このポリシーは、同じサイトからのページで実行されているスクリプトが、特定の制限なしに互いのメソッドとプロパティにアクセスすることを許可しますが、異なるサイトのページにまたがるほとんどのメソッドとプロパティへのアクセスを防ぎます。

Answer 2

悪意のあるスクリプトは、ユーザーの許可なしに外部ページを開くことができるためです。たとえば、安全でないテキストエリアを想像してみてください。このテキスト ボックスの内容が他のユーザーに表示される場合、リモート ホストに接続して重要なユーザー情報を送信するスクリプトが含まれている可能性があります。それはすべて要約すると、サーバー側 -> あなたが管理している、クライアント側 -> 公開されているため、悪用される傾向があります。