شرح صفوف ومحتوى الفقرة
تخيّل أنك سجّلت دخولك إلى حسابك البنكي أو بريدك الشخصي في التبويب الأول من المتصفح، وفي اللحظة نفسها فتحت موقع ألعاب أو مدونة خارجية في التبويب الثاني. ما الذي يمنع كود الذي يعمل داخل التبويب الثاني من إرسال طلب خفي في الخلفية إلى موقع البنك وقراءة رصيدك ورسائلك الخاصة؟ الحارس الأساسي الذي يحميك داخل كل متصفح ويب حديث هو سياسة نفس المصدر ()، وتكملها آلية التصاريح المنضبطة عبر رؤوس الرسائل: مشاركة الموارد عبر المصادر ().
أهداف التعلم في هذا الدرس:
- تحديد مفهوم المصدر () من خلال أركانه الثلاثة الدقيقة () والتمييز بين الروابط المتطابقة والمختلفة المصدر.
- استيعاب الدافع الأمني لفرض سياسة نفس المصدر () افتراضياً لعزل التبويبات وحماية جلسات المستخدم المسجل.
- التعرف على الحالات الهندسية الشرعية التي تحتاج فيها المواقع للتواصل عبر المصادر (مثل تواصل واجهة مع خادم البيانات ).
- تتبع آلية عمل تصاريح عبر رأس الطلب ورأس الاستجابة ، والمقارنة بين الطلبات البسيطة وطلبات التفاوض المسبق ()، وتطبيق قواعد حماية بيانات الاعتماد ومنع النجمة الشاملة ().
قبل الغوص في تفاصيل هذا الدرس، استعرض جدول المصطلحات الأساسية التالية:
| المصطلح بالعربية | المصطلح بالإنجليزية | النطق التقني | المعنى المبسط |
|---|---|---|---|
| المصدر في الويب | ويب أوريجين | الهوية الثلاثية للموقع وتتكوّن من المخطط (Scheme) واسم المضيف (Host) ورقم المنفذ (Port). | |
| سياسة نفس المصدر | سيم أوريجين بوليسي | قاعدة أمان مدمجة في المتصفح تمنع سكربتات صفحة ويب من قراءة بيانات مستلمة من مصدر آخر مختلف. | |
| الطلبات العابرة للمصادر | كروس أوريجين ريكويست | طلب شبكة ترسله صفحة ويب إلى عنوان يختلف عنها في البروتوكول أو النطاق أو رقم المنفذ. | |
| مشاركة الموارد عبر المصادر | كورس (CORS) | آلية قياسية تعتمد على رؤوس HTTP يصرّح فيها الخادم للمتصفح بالسماح لمصادر محددة بقراءة استجاباته. | |
| طلب التفاوض المسبق | بري فلايت ريكويست | طلب استئذان أولي بطريقة OPTIONS يرسله المتصفح تلقائياً للتحقق من موافقة الخادم قبل إرسال الطلب الفعلي. | |
| رأس السماح بالمصدر | أكسس كنترول ألاو أوريجين | حقل رأس الاستجابة الأساسي في CORS الذي يحدد فيه الخادم المصدر المسموح له بقراءة البيانات. |
قبل أن نفهم كيف يعزل متصفح الويب المواقع عن بعضها لحماية المستخدم، نحتاج أولاً إلى معرفة كيف يحدد المتصفح «الهوية الأمنية» لكل موقع، وهو ما يُعرف تقنياً باسم المصدر (). يُعرّف المتصفح المصدر من خلال التطابق التام بين ثلاثة أجزاء أساسية في عنوان فقط:
- 1. المخطط أو البروتوكول (): مثل أو . حتى لو تطابق اسم النطاق بالكامل، يعتبر المتصفح و مصدرين مختلفين.
- 2. اسم المضيف أو النطاق (): مثل أو أو ؛ ويشترط تطابق الاسم حرفياً بما فيه النطاقات الفرعية.
- 3. رقم المنفذ الشبكي (): مثل المنفذ الافتراضي لبروتوكول ، أو المنفذ لبروتوكول ، أو منافذ التطوير المحلية مثل و.
لاحظ أن مسار الملف داخل الموقع (مثل ) أو معلمات الاستعلام (مثل ) لا تدخل في حساب المصدر؛ فجميع صفحات ومجلدات الموقع الواحد التي تشترك في نفس المخطط والمضيف والمنفذ تنتمي إلى نفس المصدر تماماً. تأمل المخطط التوضيحي الآتي:
