同源策略缺失的风险：窃取 Cookie

文中提到，如果其他网站可以读取银行网站 A 的 Cookie，将导致严重的安全风险。那么，在同源策略缺失的情况下，其他网站如何读取 A 的 Cookie 呢？

假设没有同源策略，浏览器将允许所有网站访问同一用户的 Cookie。这意味着，任何网站都可以通过以下任意一种方式轻松窃取其他网站的 Cookie：

• 直接使用 JavaScript：其他网站可以通过使用 JavaScript 访问 document.cookie，从而获取 A 网站的 Cookie 信息。
• 使用 iframe：其他网站可以通过创建一个指向 A 网站的 iframe，并读取其 contentWindow.document.cookie 来获取 A 网站的 Cookie。
• 使用特定 API：如果浏览器在没有同源策略的情况下设计了获取其他网站 Cookie 的 API（例如 getAllCookie），那么其他网站可以通过调用此 API 来获取 A 网站的 Cookie。

值得注意的是，当前浏览器已经内置了同源策略限制，从而有效地阻止了上述攻击方式。