谷歌 AJAX 库 API 是否绕过同源策略？答案

【问题标题】：Is google AJAX Libraries API bypassing same origin policy?谷歌 AJAX 库 API 是否绕过同源策略？
【发布时间】：2010-11-13 08:22:08
【问题描述】：

发件人：https://developer.mozilla.org/En/Same_origin_policy_for_JavaScript

同源策略防止从一个文件或脚本加载
origin 从另一个来源获取或设置文档的属性。
该政策可以追溯到 Netscape Navigator 2.0。

那么为什么不执行同源策略呢？，当一个有这样的脚本标签时：

我确定我错过了“某些东西”，我已阅读
http://code.google.com/p/browsersec/wiki/Part2#Same-origin_policy
看了很多遍还是想不通……

【问题讨论】：

【解决方案1】：

HTML 可以从它喜欢的任何地方加载，它是在页面上运行的另一个脚本，无法从其他来源获取文档。

【讨论】：

就是这样的回答。简单而简洁。
Cesar 所说的 :-) 还值得指出的是，同源策略适用于页面的域，而不是脚本：示例页面从 example.net 加载的脚本。 com 将只能访问 example.com，而不是 example.net。

【解决方案2】：

<script> 标签是此规则的一个例外。允许页面“邀请”来自另一台服务器的脚本，这被认为是可以的。

（互联网的整个经济 - 页面广告 - 都是基于允许的！虽然它确实存在安全风险，但不会很快改变。）

【讨论】：

【解决方案3】：

脚本不是文档。它们在包含<script> 元素的文档上下文中运行。

【讨论】：