SOP(Same Origin Policy) 란?

Same Origin Policy란 동일 출처 정책으로 어떤 출처에서 불러온 문서나 스크립트가 다른 출처에서 가져온 리소스와 상호작용 하는것을 제한하는 중요한 보안 방식입니다.

 

아래 표는 URL http://paul-k.tistory.com/index.jsp의 출처를 비교한 예시입니다.

URL	결과	이유
http://paul-k.tistory.com/test/index.jsp	성공	경로만 다름
https://paul-k.tistory.com/test/index.jsp	실패	프로토콜이 다름
https://paul-k.tistory.com:8081/test/index.jsp	실패	포트가 다름
http://test.paul-k.tistory.com/test/index.jsp	실패	호스트가 다름

SOP정책이 왜 필요한지에 대한 답은 사용자가 메일을 보는데 메일내용에 URL Link가 되어있어서 눌렸을 경우 해킹범이 다른 URL에서 해당 사용자 로컬PC에 있는 쿠키값으로 메일서버에 데이터를 요청하였을경우 해당 사용자의 메일내용들이 해커에게 전달될수있다.

 

그래서 SOP정책은 프로토콜이 다르거나, 포트가 다르거나, 호스트가 다를경우 다른 도메인으로 인식하여서 response 데이터전달을 하지 못하게 방지한다.

 

하지만 iframe이나 다른 도메인에서 데이터 전달이 필요할경우 Access-Control-Allow-Origin에 추가하여 서로 다른 도메인간 데이터 전송을 허용할 수 있다.