什么是文件 URI 的同源策略？

Question

也许我的 Google-Fu 已经抛弃了我，但我找不到关于 this outdated Mozilla page 以外的文件 URI 的同源策略的良好描述。谁能指出我对文件 URI 的同源策略的解释？特别是，如果我从（比如说）file:///C:/Users/Joe/Test/test.html 加载了一个脚本，那么该脚本允许使用 XMLHttpRequest 访问哪些文件？我应该如何指定 URI，即相对于脚本的 URI？

请注意，我并不是在寻求绕过跨域限制的方法，只是了解我需要将资源驻留在哪里，以便在不触发跨域错误的情况下加载它们。

Answer 1

file:/// URI 的同源策略取决于实现。

W3C's CORS spec 的“起源”定义来自 IETF RFC 6454 "The Web Origin Concept"。在section 4 "Origin of a URI" 中写道：

4. 如果 uri-scheme 是“文件”，则实现可以返回实现定义的值。

注意：历史上，用户代理已经从 文件方案大量的特权。然而， 授予所有本地文件如此广泛的权限可能会导致 权限提升攻击。一些用户代理已经 成功授予本地文件基于目录的权限，但是 这种方法尚未被广泛采用。其他用户代理 为每个文件 URI 使用全局唯一标识符，即 最安全的选择。

查找特定浏览器的行为（及其背后的原因）并不容易。实际上，我认为您引用的旧 Mozilla wiki 页面是有关该主题的更好资源之一。 Here's a fairly helpful discussion;一般指导是假设浏览器可以将所有 file:/// URI 视为完全唯一的来源。