同一オリジンポリシーとは？どういつおりじんぽりしー
同一オリジンポリシーとは、スキーム・ホスト・ポートの3つがすべて一致するときだけ、スクリプトに相手の応答内容やDOMの読み取りを許すブラウザ側の既定の制限。これがあるため、罠サイトを開かせても、そのスクリプトから利用者のセッションを使って別サイトの中身を読み出すことはできない。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
ブラウザは、素性の違う多数のサイトのコードを、同じ画面と同じ資格情報のもとで同時に動かしている。制限が無ければ、開いているだけの広告や罠のページから、別タブの業務システムの画面を読めてしまう。相互に不信な出所を隔てる最小の単位としてオリジンが定義され、以後のWeb防御はすべてこの境界を前提に組み立てられている。
具体例
iframeで社外のページを画面へ埋め込むことはできるが、その中の本文や入力値をスクリプトから読むことはできない。一致の判定は3要素すべてで行うため、https://example.jp に対して、ホスト名が同じでもポートが8443なら別、httpで始まるURLならさらに別のオリジンとして扱われる。
試験での引っ掛け
別オリジンへは要求を送れない、という理解が誤り。フォーム送信や画像・スクリプトの読み込みといった送出は許されており、止まるのは主に応答の読み取りである。この送れるが読めないという性質が、応答を読まずに副作用だけを起こすCSRFの成立条件になっている。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。