same-site和same-origin

必须要说same-site和same-origin这两个概念是有区别的，我以前经常弄混…

Origin（源）

Origin是由协议（scheme/protocol，比如http或者https），主机名（host name）以及端口号（port，不一定有）构成，比如一个url为https://www.example.com:443/foo，那么这个url的origin就是https://www.example.com:443。

因此，不同的网站如果协议、主机名以及端口号都是相同的，那么它们之间就是”same-origin”(同源)，否则称之为”cross-origin”(跨域)。

Origin A	Origin B	关系
https://www.example.com:443	https://www.evil.com:443	跨域：域名不同（different domains）
	https://example.com:443	跨域：子域名不同（different subdomains）
	https://login.example.com:443	跨域：子域名不同
	http://www.example.com:443	跨域：协议不同
	https://www.example.com:80	跨域：端口号不同
	https://www.example.com:443	同源
	https://www.example.com	同源（默认端口号一致）

Site（站）

在Root Zone Database数据库里面列出了所有比如.com和.org这样的顶级域（Top-level domains , TLDs）。Site的意思就是TLDs和它前面的域（domain）的一部分所构成。比如对于urlhttps://www.example.com:443/foo来说，它的site就是example.com。

但是比如说.co.jp或者是.github.io这样的域来说，如果是按照上面的定义从.jp或者是.io这样的TLDs出发去定义，显然这样并不准确。这样就需要一个标准Public Suffix List去定义网址中有效的TLDs（effective TLDs, eTLDs），这个列表publicsuffix.org/list列出了所有的eTLDs。

因此整个网址名也就是site可以看作eTLD+1，比如urlhttps://my-project.github.io，那么它的eTLD就是.github.io，eTLD+1也就是site即my-project.github.io。

所以网站之间如果有相同的eTLD+1，那么它们就是same-site（同站），反之就是cross-site（跨站）。

Origin A	Origin B	关系
https://www.example.com:443	https://www.evil.com:443	跨站：域名不同（different domains）
	https://example.com:443	以下皆为同站
	https://login.example.com:443
	http://www.example.com:443
	https://www.example.com:80
	https://www.example.com:443
	https://www.example.com

以上所说的same-site是没有考虑协议（scheme/protocol）的，但是因为安全性问题，same-site有时需要考虑协议相同，也就是schemeful same-site，因此http://www.example.com和https://www.example.com视为cross-site。

如何判断请求request是”same-site”, “same-origin”, 还是 “cross-site”？

Chrome在发送请求时会带有Sec-Fetch-Site这样的HTTP header，目前其他浏览器并不支持Sec-Fetch-Site。属性值可以对请求进行相应的判断。