为了防御攻击，开发者需要减少漏洞并向应用添加安全功能。幸运的是，Web 浏览器提供了许多安全功能。有些选项可供开发者选择启用，而有些则会默认启用以保护用户。
“沙盒”的概念
现代网络浏览器都是基于“沙盒”的理念构建的。沙盒是一种用于在受限环境中运行应用的安全机制。就像游乐场中的物理沙盒一样，孩子们可以在边界内创建他们想要的任何东西，而不会在其他位置造成混乱，同样，应用代码可以在受限的环境中自由执行。例如，JavaScript 可以添加和修改页面上的元素，但可能被限制访问外部 JSON 文件。这是因为有一个称为“Same-origin”的沙盒功能
为什么需要沙盒？
每天，网络用户都会下载任意代码，并在计算机或手机上执行多次。如果有人告诉您“嘿！下载并运行此应用！”消息后，您可能会停下来想一想，该应用是否来自可信来源，仔细阅读应用供应商，或仔细查看评价。如果有人向您发送网址显示“请查看此博文”，该怎么办？您很可能不会点击“此网站会下载哪种 JavaScript？”这样的问题。
浏览器沙盒是一项关键功能，可让您更安全地运行任意代码，从而实现顺畅的网页浏览体验。
从设计上保证安全
如果浏览器会沙盒化每个 Web 应用，我们是否应该关注安全性？当然有！
首先，沙盒功能并不是完美的护盾。尽管浏览器工程师会竭尽全力，但浏览器可能存在漏洞，攻击者总是试图绕过沙盒（例如使用 Spectre Attack）。
沙盒有时可能会妨碍您提供出色的网络体验。例如，浏览器可能会阻止对其他网域上托管的图片的提取请求。您可以通过启用跨域资源共享（简称 CORS）在不同网域上共享资源，但如果操作不谨慎，您可能会向网络上的其他所有人公开资源，实质上是撤消沙盒。
小结
只有将安全性融入应用的设计中，才能实现安全的 Web 体验，而出色的设计始于了解现有功能。下两篇指南深入探讨 CORS 和同源政策。