الخلاصة

  • اقترحت مسودة Origin في يناير 2009 أن يرسل المتصفح إلى الخادم سياق الجهة التي بدأت الطلب، ليستطيع الخادم فحص طلبات مزوّرة تأتي من موقع آخر. وفي ديسمبر 2011 صاغ RFC 6454 معنى «الأصل» الذي يعمل به المتصفح على نطاق أوسع.
  • يتكوّن الأصل من المخطط والمضيف والمنفذ. لا يدخل مسار الصفحة في هذا الحساب. لذلك قد يعمل HTML يقدمه شخص غريب ضمن صلاحيات الأصل نفسه إذا نشره الموقع تحت العنوان ذاته.

ممرّان وباب واحد

يضع موقع صفحة الحساب في /account ومواد الزوار في /uploads. يرى مدير الخادم مجلدين مختلفين. يرى المتصفح مخطط الاتصال واسم المضيف والمنفذ. إذا تطابقت العناصر الثلاثة، جمع الصفحتين في أصل واحد. اللافتة المكتوبة بعد الشرطة المائلة لا تنشئ جداراً للأذونات.

وثّق RFC 6454 الصادر في ديسمبر 2011 هذا الحد. يوضح النص أن سياسة الأصل الواحد نشأت تدريجياً في عمل المتصفحات؛ وجاءت الوثيقة لتضبط تعريفها. فالموقع العملي يتألف من صفحات وملفات متعددة، ومعاملة كل عنوان على أنه كيان أجنبي مستقل كانت ستجعل تعاونها شاقاً. الأصل الواحد يمنحها حيزاً مشتركاً. ومن ينشر الملفات يقرر من يدخل هذا الحيز.

يضع RFC أمثلة تكشف دقة الحساب: صفحة HTTP لدى example.com ومسار آخر على المضيف نفسه مع ذكر المنفذ 80 صراحةً ينتميان إلى أصل واحد، لأن 80 هو منفذ HTTP المعتاد. تغيير المنفذ يغيّر الأصل. الانتقال إلى HTTPS يغيّره أيضاً، ولو بقي اسم المضيف نفسه؛ فالصفحة التي تصل عبر اتصال غير محمي لا ينبغي أن تحمل تلقائياً ثقة الصفحة المحمية. أما مسارا /account و/uploads فيبقيان معاً إذا اتفقت العناصر الثلاثة.

ملف الزائر أخذ مقعد الصفحة الأصلية

حين يُقدَّم محتوى الزوار على هيئة HTML نشط من أصل التطبيق الرئيسي، يستطيع المتصفح تشغيل شيفرته في سياق ذلك الأصل. يلفت RFC النظر إلى نوع الوسيط عند عرض المواد غير الموثوقة. ويمكن للخادم أن يرفض عملية حسابية أو إدارية بسبب غياب إذن المستخدم؛ ذلك فحص آخر. المتصفح لا يستنتج من اسم /uploads أن الصفحة تستحق صلاحيات أقل.

بدأت مسودة Origin في يناير 2009 من سؤال الخادم: من أين جاء الطلب؟ اقترحت ترويسة Origin تصف سياق المتصفح الذي سبّبه، ويمكن استخدامها في الدفاع عن الطلبات المزوّرة بين المواقع. كانت مسودة عمل، لا معياراً منشوراً. وسّع RFC 6454 الإطار: الأصل وحدة يصنف بها المتصفح الصفحات حتى قبل إرسال الطلب، ويمكن للترويسة أن تعبّر عن تلك الوحدة. إذا غاب الثلاثي المعتاد، يُكتب الأصل نصاً null؛ وتحدّد الوثيقة هذه القيمة أيضاً للطلبات الخارجة من سياق حساس للخصوصية.

استعملت توصية W3C بشأن CORS عام 2014 هذه المعلومة عندما يختار مورد من يقرأ استجابته عبر المواقع. ونصّت على الفصل بين إذن القراءة وإذن تنفيذ أثر الطلب. تلك طبقة لاحقة. قبلها كان المتصفح قد قرر أي صفحات تسكن أصلاً واحداً.

رسم RFC الجدار حول المنفذ وترك المسارات في الداخل. ما يُنشر خلف ذلك الجدار قرار يومي يتخذه صاحب الموقع.