同源策略：没有它的风险
同源策略是一项浏览器安全措施，旨在防止来自不同来源的脚本访问彼此的资源。如果没有同源策略，网站可以：
读取其他网站的 Cookie
假设一家银行网站（A）已设置了用户 Cookie。当用户访问另一网站（B）时，没有同源策略，B 可以通过以下方式读取 A 的 Cookie：
- JavaScript： B 可以使用 document.cookie 属性，该属性可以访问所有网站的 Cookie。
- Iframe： B 可以使用 iframe 嵌入 A 的页面，然后通过 iframe.contentWindow.document.cookie 访问 A 的 Cookie。
其他风险
除了读取 Cookie 外，没有同源策略还会导致：
- 跨站脚本攻击 (XSS)： 允许恶意脚本从一个网站访问另一个网站的资源。
- 数据泄露： 敏感信息，例如登录凭据，可以在网站之间传输。
- 浏览器劫持： 允许恶意软件控制浏览器的行为，包括对敏感信息的访问。
幻想中的场景
文章中提到的场景假设了浏览器在没有同源策略的情况下设计的不同。例如，可能存在一个 getAllCookie API，允许任何网站获取所有网站的 Cookie。或者，网站可能能够使用 iframe 加载其他网站并直接访问其 Cookie。
需要注意的是，这些场景纯属假设。浏览器目前不允许此类操作，并且即使没有同源策略，攻击者也需要找到创新的方法来利用这一弱点。
