同域同源策略，但 https答案

【问题标题】：Same origin policy with same domain, but https同域同源策略，但 https
【发布时间】：2011-12-26 22:30:36
【问题描述】：

我想从 http://www.somedomain.com 向 https://www.somedomain.com

发起网络服务调用>

无需麻烦地设置测试，有人可以确认这是否会被视为同源吗？

我的假设是这会很好，因为 cookie 在这种情况下已成功共享。

【问题讨论】：

【解决方案1】：

不行，url 需要相同的域和相同的协议是行不通的，请参阅http://en.wikipedia.org/wiki/Same_origin_policy

【讨论】：

【解决方案2】：

不，它不是同一个来源。

也许您可以将您的服务器配置为接受 http 或 https 调用？如果是这种情况，您可以使用协议相关 url 使您的请求使用您已经使用的任何协议。

reqUrl = "//www.somedomain.com"

顺便说一句，从 http 页面进行 htmltrps 调用通常是不正确的。初始的 http 页面会让你失去 https 提供的所有安全性，因为无法验证页面是否已正确提供并且正在运行预期的脚本而不是邪恶的东西。

【讨论】：

您从哪里获得第二部分答案的信息？ stackoverflow.com/questions/3978354/…
问题是，如果原始页面是 HTTP，则用户无法保证他使用的是您发送给他的正确页面，而不是第三方发送的恶意页面。
如果您已经在一个不安全的页面上，然后从中访问一个安全的页面，我真的不明白这会使事情变得比现在更糟。比这更糟糕的是，您的解决方案（这是一个非常好的解决方案）完全放弃了安全性 - 当然这也好不到哪里去。在大多数情况下，同源策略可能有意义，但这不是其中之一。