2.1 同源策略
（1）同源策略是一种约定，是浏览器最核心也是最基本的安全功能，如果缺少了同源策略，浏览器的正常功能可能会受到影响。
（2）浏览器的同源策略，限制了来自不同源的“document”或脚本，对当前“document”读取或者设置某些属性。
（3）在互联网中，随着业务的发展，跨域请求的需求越来越迫切，因此W3C委员会制定了XMLHttpRequest跨域访问标准。需要通过目标域返回的HTTP头来授权是否允许跨域访问。
（4）同源策略一旦出现漏洞被绕过，也将会带来非常严重的后果，很多基于同源策略制定的安全方案都将失去效果。

2.2 浏览器沙箱
（1）在网页中插入一段恶意代码，利用浏览器漏洞执行任意代码的攻击方式，在黑客圈子里被形象的称为“挂马”。
（2）“挂马”是浏览器需要面对的一个主要威胁
（3）Sandbox即沙箱，已经成为泛指“资源隔离类模块”的代名词。
（4）Sandbox的设计目的是为了让一些不可信任的代码运行在一定的环境中，限制不可信任的代码访问隔离区之外的资源。

2.3 恶意网址拦截
（1）很多时候，“挂马”攻击在实施时会在一个正常的网页中通过script或者iframe等标签加载一个恶意网址。
（2）目前各个浏览器的拦截恶意网址的功能都是基于“黑名单”的。
（3）常见的恶意网址分为两类：挂马网站、钓鱼网站。
（4）挂马网站：这些网站通常包含恶意的脚本如Javascript或Flash，通过利用浏览器的漏洞执行shellcode。
（5）钓鱼网站：通过模仿知名网站的相似页面来欺骗用户。
（6）PhishTank 是互联网上免费提供恶意网址黑名单的组织之一，它的黑名单由世界各地的志愿者提供，且更新频繁。

2.4 高速发展的浏览器安全
（1）XSS攻击在没有第三方插件帮助的情况下，无法控制HTTP头。
（2）浏览器加载的插件也是浏览器安全需要考虑的一个问题。
（3）扩展和插件的权限都高于页面Javascript的权限。

2.5 小结
（1）浏览器的安全以同源策略为基础，加深理解同源策略，才能把握住浏览器安全的本质。