شرح صفوف ومحتوى الفقرة
افتراضياً، لا يرسل المتصفح ملفات تعريف الارتباط () مع طلبات العابرة للمصادر حمايةً للمستخدم. وعندما تحتاج واجهة موثوقة مثل إلى إرسال كوكيز الجلسة إلى خادمها ، يفرض المتصفح قاعدة أمان ذهبية صارمة:
- 1. التصريح الصريح بقبول بيانات الاعتماد: يجب أن يرسل الخادم في استجابته حقل الرأس .
- 2. الحظر التام للجمع بين النجمة الشاملة () والكوكيز: عند تفعيل إرسال الكوكيز وبيانات الاعتماد، يمنع المتصفح منعاً باتاً استخدام القيمة النجمية العامة ويحجب الاستجابة فوراً! بل يجب على الخادم تحديد اسم المصدر الموثوق بالاسم الصريح (مثل ).
- 3. التحقق من قائمة المصادر الموثوقة (): يجب أن يقارن الخادم قيمة بقائمة نطاقات محددة ومعتمدة لديه، وألا ينسخ أي مصدر عشوائي يرد في الطلب.
# INVALID (Blocked by Browser): Wildcard * cannot be used with Credentials!
# Access-Control-Allow-Origin: *
# Access-Control-Allow-Credentials: true
# VALID & SECURE: Explicit trusted origin from server allowlist + Credentials
HTTP/1.1 200 OK
Access-Control-Allow-Origin: https://app.example.com
Access-Control-Allow-Credentials: true
Vary: Originملخص الدرس
حصاد الدرسمراجعة مركّزة لأهم المفاهيم والقواعد الهندسية التي أتقنتها في هذا الدرس قبل التطبيق العملي
ماذا تعلّمت في هذا الدرس؟
تعلّمنا في هذا الدرس أن المصدر () في المتصفح يتحدد بثلاثة أركان صارمة ()، وأن سياسة نفس المصدر () تحمي حسابات المستخدمين عبر منع قراءة بيانات المصادر المختلفة افتراضياً، وأن آلية تمكّن الخادم من منح تصاريح آمنة عبر رأس الرسالة وطلبات التفاوض المسبق مع حظر الجمع بين النجمة الشاملة () والكوكيز الخاصة. الخطوة التالية: انتقل الآن إلى الدرس التالي (مبادئ التشفير والتجزئة الرقمية للويب) لنكتشف معاً كيف تحمي خوارزميات التجزئة والتمليح والتشفير المتماثل وغير المتماثل كلمات المرور واتصالات !