同源策略：为什么钱包要单独一个子域名

全文分三层：

1. 通俗理解：同一栋楼和不同的楼
2. 实际用处：大公司为什么把用户内容放在别的域名上
3. 原理与工程要点：origin 和 site 的区别、隔离到什么程度才够

第一层：通俗理解

1.1 什么叫"同源"

同源的页面就像住在同一个房间：一个页面里的脚本可以随意读写另一个页面的内容、发请求、读 localStorage。不同源的页面则住在不同的房间，默认看不到彼此。

1.2 为什么要搬出去

假设一个网站的登录页、博客、论坛、钱包都放在 example.com 下面，只是路径不同。那么：

• 论坛有一个 XSS 漏洞（比如某个帖子能嵌入脚本）；
• 这段脚本运行在 example.com 这个源里；
• 它就能读到同源的钱包页面，甚至悄悄改掉页面上的收款地址。

把钱包搬到 wallet.example.com，论坛的脚本就碰不到它了。漏洞仍然存在，但伤不到最值钱的东西。

第二层：实际用处

• 用户内容放在独立域名：Google 把用户上传的文件放在 googleusercontent.com，GitHub 把用户内容放在 githubusercontent.com，原因都是：用户上传的 HTML 万一能执行脚本，也只能在一个"没有任何敏感数据"的源里运行。
• 管理后台独立：很多公司把管理后台放在单独的域名甚至内网，和面向用户的主站完全隔离。
• 支付页面：第三方支付表单通常以 iframe 的形式嵌在商家页面里，但 iframe 来自支付服务商自己的源，商家页面的脚本读不到里面的卡号。
• 加密货币：钱包和 DeFi 前端被篡改的事件（见《Bybit事件与前端完整性》）让人们越来越重视"签名页面必须是一个干净、隔离、可审计的源"。

Caloogy Wallet 也采用了这种做法：钱包运行在一个独立的源上。

第三层：原理与工程要点

3.1 同源策略管什么

3.2 origin 与 site 的区别

• origin：协议 + 完整域名 + 端口。wallet.example.com 和 blog.example.com 是不同 origin。
• site：协议 + "可注册域名"（eTLD+1）。它们属于同一个 site example.com。

有两处是按 site 而不是按 origin 来算的，因此子域名隔离并不完美：

1. Cookie：兄弟子站可以设置 Domain=example.com 的 cookie，影响你的子站。对策是用 __Host- 前缀的 cookie。
2. SameSite：从 blog.example.com 发往 wallet.example.com 的请求被视为"同站"，SameSite 挡不住。对策是服务端校验 Origin 头。

极端敏感的应用会干脆用一个完全不同的可注册域名，连 site 都分开。

3.3 隔离不只是浏览器的事

前端搬到单独的源，后端也要相应隔离，否则只是换了个门牌号：

• 独立的服务进程和系统用户、独立的数据库和密钥文件（见《最小权限与密钥管理》）；
• 独立的会话，不和主站共享 cookie；
• 前端托管在一个与主站服务器无关的平台上：主站服务器被攻破时，攻击者也改不了这个页面。

3.4 更强的隔离头

总结