面试题：什么是同源策略？哪些东西会受同源限制？

同源定义

协议 + 域名 + 端口三者完全一致才算同源。https://a.com 与 https://a.com:8443 不同源。

受限制的典型能力

• XHR / fetch 读跨域响应（需 CORS）。
• Cookie 默认随同源请求携带，跨子域需 Domain 等配置。
• document.cookie、DOM、localStorage 等跨源页面互访。
• iframe 内文档与父页 JS 跨域时不能直接操作对方 DOM。

不受限或例外

• <link>、<script>、<img> 等简单跨域加载（但 JS 读内容仍受限，如 canvas 跨域图「污染」）。

面试一句

同源策略是浏览器安全基石：隔离不同源的文档与数据，跨源协作靠 CORS、postMessage、代理 等显式机制。