מדיניות של אותו מקור ו-iframe

Mariko Kosaka
X

ב-Codelab הזה נסביר איך מדיניות המקור הזהה פועלת כשניגשים לנתונים בתוך iframe.

הגדרה: דף עם iframe מאותו מקור

בדף הזה מוטמע iframe בשם iframe.html, באותו מקור. מכיוון שהמארח וה-iframe חולקים את אותו מקור, האתר המארח יכול לגשת לנתונים בתוך ה-iframe ולחשוף את ההודעה הסודית, כמו בדוגמה הבאה.

const iframe = document.getElementById('iframe');
const message = iframe.contentDocument.getElementById('message').innerText;

שינוי ל-iframe ממקורות שונים

אפשר לנסות לשנות את src של iframe לערך https://other-iframe.glitch.me/. האם דף המארח עדיין יכול לגשת להודעה הסודית?

מכיוון שהמארח וה-iframe המוטמע לא מגיעים מאותו מקור, הגישה לנתונים מוגבלת.