Appendix B. Differences between HSTS Policy and Same-Origin Policy (HSTS 策略和同源策略的差异)

HSTS Policy 与 Same-Origin Policy 作用目标不同. Same-Origin Policy 用于限制 Web content 之间的读写和脚本交互, 通常以 scheme, host 和 port 的三元组判断 origin. HSTS Policy 则用于决定 UA 是否必须使用 secure transport 访问某个 host.

HSTS 按 host 以及可选的 domain subtree 应用. 它会把 http 访问升级到 https, 并禁止用户绕过 secure transport error. Same-Origin Policy 不负责这种 transport upgrade, 也不规定 TLS warning 的用户处理方式.

因此, 即使两个 URL 在 same-origin policy 下不是同源, 它们仍可能受到同一父域 includeSubDomains HSTS policy 的影响. 反过来, 同源判断成立也不意味着该 origin 一定是 Known HSTS Host.