浏览器同源策略：为何RSS数据被视作具有危险性？

现代浏览器会阻止脚本获取非当前域名下的RSS内容——哪怕RSS数据已经被传输到浏览器，同源策略也会限制脚本访问它，只有目标服务器设置了CORS允许跨域的响应头，脚本才能正常读取这些RSS数据。

这种限制并非针对RSS本身，而是同源策略的通用规则延伸，核心是保护用户的隐私与安全，哪怕RSS是普通XML数据，攻击者依然能通过跨域获取它来实施攻击，具体考量和利用场景如下：

1. 窃取RSS中的敏感信息 #

很多RSS feed可能包含用户专属的敏感内容：

• 私人博客的RSS可能带有未公开的草稿、仅订阅者可见的私密内容；
• 企业内部系统的RSS可能包含员工工作动态、项目机密片段；
• 部分服务的RSS会附带隐藏的用户身份标识（比如自定义字段、URL参数里的信息）。
  如果脚本能跨域读取这些RSS，攻击者就能通过恶意脚本窃取用户的敏感信息，进而冒充用户身份或泄露隐私。

2. 借助RSS状态信息实施CSRF攻击 #

虽然RSS是只读数据，但攻击者可以通过跨域读取RSS的状态信息辅助实施CSRF攻击：

• 比如某网站的RSS会显示用户是否登录、当前权限等级；
• 或是展示用户最近的操作记录、已订阅内容列表。
  攻击者的脚本读取这些内容后，就能判断用户的登录状态和权限，再针对性发起CSRF请求（比如诱导用户点击伪造链接，执行转账、改密码等操作），大幅提升攻击成功率。

3. 利用合法RSS内容实施钓鱼 #

攻击者可以构造恶意网站，跨域读取合法网站的RSS内容并伪装成自身页面的一部分，实施钓鱼：

• 比如读取银行官方RSS的公告，在恶意网站上展示，让用户误以为是银行官方页面，诱导输入账号密码；
• 或是读取电商网站的商品RSS，伪造虚假促销页面，骗取用户支付信息。
  同源策略的限制能阻断攻击者直接获取并复用这些合法内容的路径，避免用户被钓鱼欺骗。

4. 滥用目标服务器资源 #

如果允许脚本随意跨域读取RSS，攻击者可以在恶意网站中批量加载大量第三方RSS feed：

• 一方面会消耗目标服务器的带宽，导致合法用户无法正常访问；
• 另一方面会拖慢用户浏览器运行速度，甚至通过大量请求发起类DDoS攻击。

总结来说，同源策略限制跨域读取RSS，本质是为了防止攻击者利用跨域资源获取行为窃取隐私、实施钓鱼或滥用资源，RSS只是众多受保护的资源类型之一，并非被单独视为“危险”，而是整个跨域资源访问规则的一部分。

内容的提问来源于stack exchange，提问作者GavinBrelstaff