Same-Origin Policy（同一オリジンポリシー）
ページが読めるのは同じ「オリジン」（スキーム・ホスト・ポートが同一）のデータだけ、というブラウザのセキュリティ規則。悪意あるサイトがログイン中のGmailを覗くのを防ぐ。
オリジンは https://example.com なら (https, example.com, 443) の三つ組で決まる。サブドメインが違えば別オリジンだ。規制の対象はJavaScriptからのアクセス（DOM、XHR、fetch、Cookie）である。例外や緩和策は主に三つ。サーバーがヘッダーで許可する CORS、ウィンドウ間で明示的にやり取りする postMessage、<script> タグ経由でデータを渡す古い小技 JSONP。CSRFやクリックジャッキングは、このモデルの隙を突く攻撃である。