Browser 跨域策略是否限制从同一域的不同协议下载？

跨域策略限制从其他域下载内容：

  http://mysiteA.com   <--NO-->   http://myothersite.com

http://mysiteA.com      http://myothersite.com

但是，通过不同的协议从同一个域下载是允许的吗？它在日常的web浏览器中可以工作（有人可以测试）吗

  http://mysite.com    <--?-->    https://mysite.com

http://mysite.com        https://mysite.com

是（针对标题中的问题），根据“同一原产地政策”的解释：

术语“来源”是使用域名、应用层协议和（在 大多数浏览器）运行脚本的HTML文档的TCP端口。两个资源是 当且仅当所有这些值完全相同时，才被视为具有相同的原点

因此和不是“同一原产地”，例如。

是（针对标题中的问题），根据“同一原产地政策”的解释：

术语“来源”是使用域名、应用层协议和（在 大多数浏览器）运行脚本的HTML文档的TCP端口。两个资源是 当且仅当所有这些值完全相同时，才被视为具有相同的原点

---

所以和不是“同一起源”，例如。

所以你很困惑。这不是XSS，而是跨域访问-XSS是一个安全漏洞，您将用户输入回显到HTML页面而不进行编码

您要问的是跨域访问，可能来自Ajax，但可能来自Silverlight或Flash

---

如果是这样，答案是否定的，因为协议不同，一个站点有HTTP，一个站点有HTTPS。您只能访问协议、域名和网络端口都匹配的资源。

因此您感到困惑。这不是XSS，而是跨域访问-XSS是一个安全漏洞，您将用户输入回显到HTML页面而不进行编码

您要问的是跨域访问，可能来自Ajax，但可能来自Silverlight或Flash

---

---

如果是这样，答案是否定的，因为协议不同，一个站点有HTTP，一个站点有HTTPS。您只能在协议、域名和网络端口都匹配的地方访问资源。

Ah no。注意协议的不同，所以它的来源不同，所以不起作用。@blowdart:亚历克斯就是这么说的。我认为他回答了标题中的问题，而不是从相反方向提出的文本中的问题。啊，没错，标题问题和问题内容问了不同的问题：）抱歉，亚历克斯！是的，我在回答标题中提出的问题——我希望在这个问题上否决我的人会重新考虑！）别担心这里的投票系统，亚历克斯，这里的人可能会疯狂地投他们喜欢的东西，而不是正确的/好的东西。看看“有趣”和“主观”问题/答案得到了多少选票！啊，不。注意协议的不同，所以它的来源不同，所以它不会起作用。@blowdart:亚历克斯就是这么说的。我认为他回答了标题中的问题，而不是从相反方向提出的文本中的问题。啊，没错，标题问题和问题内容问了不同的问题：）抱歉，亚历克斯！是的，我在回答标题中提出的问题——我希望在这个问题上否决我的人会重新考虑！）别担心这里的投票系统，亚历克斯，这里的人可能会疯狂地投他们喜欢的东西，而不是正确的/好的东西。看看“有趣”和“主观”问题/答案得到了多少选票！感谢您的澄清，但我仍然希望有人能够通过尝试（通过JS）从同一个域上的另一个协议下载内容来确认在FF和IE等优秀浏览器中是否如此。如果我可以控制这两个域（HTTP和HTTPS），该怎么办，我可以在某个地方添加跨域策略文件或配置以允许加载跨协议吗？您自己不能这样做吗？嗯，我在书中写RIA章节的时候就做过，相信我，在所有主流浏览器中都不允许这样做，比如Mozilla、Safari、Chome和Opera，跨域策略文件只能在flash或silverlight中使用。（尽管有一项将它们添加到HTML/DOM位的行动正在进行中）感谢您的澄清，但我仍然希望有人通过尝试（通过JS）从同一个域上的另一个协议下载内容来确认在FF和IE等优秀浏览器中是否如此。如果我可以控制这两个域（HTTP和HTTPS），该怎么办，我可以在某个地方添加跨域策略文件或配置以允许加载跨协议吗？您自己不能这样做吗？嗯，我在书中写RIA章节的时候就做过，相信我，在所有主流浏览器中都不允许这样做，比如Mozilla、Safari、Chome和Opera，跨域策略文件只能在flash或silverlight中使用。（尽管将它们添加到HTML/DOM位的行动正在进行中）