"cùng trang web" và "cùng nguồn gốc"

Eiji Kitamura

"Cùng trang web" và "cùng nguồn gốc" là các thuật ngữ thường được trích dẫn nhưng thường bị hiểu sai. Ví dụ: các cookie này được dùng trong ngữ cảnh chuyển đổi trang, yêu cầu fetch(), cookie, mở cửa sổ bật lên, tài nguyên được nhúng và iframe. Trang này giải thích về các loại tệp này và sự khác biệt giữa các loại tệp.

Điểm gốc

"Nguồn gốc" là tổ hợp của một giao thức (còn gọi là giao thức, ví dụ: HTTP hoặc HTTPS), một tên máy chủ và một cổng (nếu được chỉ định). Ví dụ: với URL là https://www.example.com:443/foo, "nguồn gốc" là https://www.example.com:443.

"Cùng nguồn gốc" và "khác nguồn gốc"

Những trang web có cùng tổ hợp lược đồ, tên máy chủ và cổng được coi là "có cùng nguồn gốc". Mọi nội dung khác đều được coi là "nhiều nguồn gốc".

Trang web

Miền cấp cao nhất (TLD) như .com và .org được liệt kê trong Cơ sở dữ liệu vùng gốc. Trong ví dụ
trước, "site" là tổ hợp của lược đồ, TLD và một phần của miền ngay trước đó (Chúng tôi gọi là TLD+1). Ví dụ: với URL là https://www.example.com:443/foo, "trang web" sẽ là https://example.com.

Danh sách hậu tố công khai và eTLD

Đối với các miền có các phần tử như .co.jp hoặc .github.io, việc chỉ sử dụng .jp hoặc .io là chưa đủ cụ thể để xác định "trang web". Không có cách nào để xác định cấp độ của các miền có thể đăng ký cho một TLD cụ thể theo thuật toán. Để giúp giải quyết vấn đề đó, Danh sách hậu tố công khai xác định danh sách các hậu tố công khai, còn gọi là TLD hiệu quả (eTLD). Danh sách eTLD được duy trì tại publicsuffix.org/list.

Để xác định phần "site" (trang web) của một miền có chứa eTLD, hãy áp dụng cùng một phương pháp như ví dụ với .com. Lấy https://www.project.github.io:443/foo làm ví dụ, lược đồ là https, eTLD là .github.io và eTLD+1 là project.github.io, vì vậy, https://project.github.io được coi là "trang web" cho URL này.

"cùng trang web" và "khác trang web"

Các trang web có cùng lược đồ và cùng eTLD+1 được coi là "cùng trang web". Các trang web có lược đồ hoặc eTLD+1 khác nhau là "trên nhiều trang web".

"Cùng trang web không có giao thức"

Định nghĩa về "cùng trang web" đã thay đổi để đưa lược đồ URL vào trang web nhằm ngăn việc sử dụng HTTP làm kênh yếu. Khái niệm cũ về "cùng trang web" mà không so sánh giao thức hiện được gọi là "cùng trang web không có giao thức". Ví dụ: http://www.example.com và https://www.example.com được coi là cùng một trang web không có giao thức nhưng không phải là cùng một trang web, vì chỉ phần eTLD+1 mới quan trọng và giao thức không được xem xét.

Cách kiểm tra xem một yêu cầu là "same-site", "same-origin" hay "cross-site"

Tất cả trình duyệt hiện đại đều gửi yêu cầu bằng tiêu đề HTTP Sec-Fetch-Site. Tiêu đề có một trong các giá trị sau:

• cross-site
• same-site (tham chiếu đến cùng một trang web có lược đồ)
• same-origin
• none

Bạn có thể kiểm tra giá trị của Sec-Fetch-Site để xác định xem yêu cầu là cùng trang web, cùng nguồn gốc hay trên nhiều trang web.

Bạn có thể tin tưởng giá trị của tiêu đề Sec-Fetch-Site một cách hợp lý vì:

• JavaScript không thể sửa đổi các tiêu đề HTTP bắt đầu bằng Sec-
• Trình duyệt luôn đặt các tiêu đề này.