同源策略缺失下的风险：第三方网站窃取敏感数据

阮一峰博客中的一句话引发了这样一个问题：没有同源策略，其他网站如何读取 A 网站的 cookie？

在同源策略缺失的世界中，浏览器的 API 将发生根本性变化。我们可以设想一个全能的 API，如 getAllCookie，允许任意网站获取任何域名的 cookie。此外，浏览器可能默认启用跨域 iFrame，允许第三方网站嵌套银行网站，从而通过 iframe.contentWindow.document.cookie 直接窃取银行 cookie。

如此一来，用户登录银行后的 cookie 便暴露无遗，其他网站可以轻松访问用户敏感信息，如账户余额、交易记录等。这将造成严重的隐私和安全隐患，用户可能遭受巨额损失或身份盗窃。