ブラウザのアクセス制御 I(同一オリジンポリシー)
10 問オリジンをスキーム・ホスト・ポートの三つ組として判定し、同一オリジンポリシー(SOP)が何を制限し何を許すのかを学びます。埋め込みは許されるのに応答の読み取りが禁止される理由や、opaque originなどの細部も扱います。
ブラウザのアクセス制御 II(CORS)
10 問CORSがサーバーの許可のもとでSOPを緩める仕組みであることを前提に、単純リクエストの条件、プリフライトの発生条件、Access-Control系ヘッダの意味、credentials付きリクエストの制約などの細部を学びます。
ブラウザのアクセス制御 III(Cookieとクレデンシャル)
10 問SameSiteの3つの値と送信条件、Secure・HttpOnlyの効果、Domain/Path属性、__Host-プレフィックス、サードパーティCookieの廃止など、Cookieに関わるアクセス制御の細部と落とし穴を学びます。
ブラウザのアクセス制御 IV(CORPとCOEP)
10 問リソース側が埋め込み先を宣言するCross-Origin-Resource-Policy(CORP)と、ドキュメント側が全サブリソースの明示的な許可を要求するCross-Origin-Embedder-Policy(COEP)の動作・値・使い分けを学びます。
ブラウザのアクセス制御 V(COOPとクロスオリジン隔離)
10 問window.openerによるウィンドウ間のつながりを切るCross-Origin-Opener-Policy(COOP)と、COOP+COEPで成立するクロスオリジン隔離(crossOriginIsolated)の意味・副作用を学びます。
ブラウザのアクセス制御 VI(CSPと関連ヘッダ)
10 問読み込み元をホワイトリスト制御するContent-Security-Policy(CSP)を中心に、frame-ancestors、Fetch Metadata、Referrer-Policy、HSTS、XS-Leaksといった関連ヘッダと脅威を学びます。