Sec-获取-站点:跨站点，但它是同一个站点

Question

我在Heroku上有两个演示应用程序，我们称之为a.herokuapp.com (网站)和b.herokuapp.com (CDN)。

在浏览器中访问a.herokuapp.com时，会对存储在b.herokuapp.com上的内容(媒体)提出请求。根据定义，这应该是对相同站点的请求，因为这两个域都是相同域的子域。

但是，当我检查浏览器发出的实际请求(Chrome)时，Sec-Fetch-Site设置为cross-site，而不是same-site

…
Host: b.herokuapp.com
Origin: https://a.herokuapp.com
Referer: https://a.herokuapp.com/
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: cross-site
…

Answer 1

我已经想好了--它的表现和预期的一样。这两个URL不被认为是“同一个站点”。

见这里：

https://html.spec.whatwg.org/multipage/origin.html#same-site