客戶端安全的基礎是同源策略，什麼是同源策略呢？就是限制了不同源的“document”或指令碼，對當前“document”讀取或者設定屬性。有一點需要注意對於當前頁面來說頁面記憶體放JS的域並不重要，重要的是載入js頁面所在的域是什麼。例如在a.com下載入了<script src="b.com/b.js"></script>。但是b.js是執行在a.com頁面中的，所以b.js的源就是a.com。而非b.com。在同源策略的限制下是不能跨域訪問資源的，隨著web發展跨域資源共享，越來越迫切。這就催生了各種安全問題，常見的攻擊型別有：跨站指令碼攻擊，跨站點請求偽造，點選劫持等。

跨站指令碼攻擊（xss）：

他指通過“html注入”，篡改了網頁，加入了惡意指令碼從而在使用者瀏覽網頁時控制了使用者的瀏覽器的行為。例如將使用者的輸入顯示到頁面上，如果使用者輸入：<script>alert(1)</script>;使用者就可以注入js。這種攻擊是相當具有威脅性的，假如說我可以向當前你瀏覽的頁面中注入我的指令碼，那麼我就可以讀取你的cookie，通過cookie就可以不用登入，進入你某個網站的賬號（cookie劫持攻擊），這是非常危險的。