同一オリジンポリシー（SOP）

• 通常のHTTPSページが読み込みを完了した後の状態を扱います。
• 注文ページのiframe埋め込みをX-Frame-Options等の設定が妨げていないものとします。その他の読み込み制限も、この比較では発生していません。[S08]
• iframeのsandboxによるオリジンの変更や、特殊なURLによるopaque originは扱いません。
• document.domainによる従来の緩和は使わず、有効化・推奨しません。[S01]
• 両モードともSOPは有効です。モード切替はブラウザ保護のON/OFFではありません。
• 認証、Cookie送信、サーバーのアクセス制御、ページの取得過程は比較対象から外します。表示済みの架空データを使い、SOPがサーバー側の認証・認可を代替するという意味ではありません。
• 外側のページが自身のiframeを通じて参照を持っている場面です。無関係なタブをJavaScriptが自由に探せるという意味ではありません。
• 各STEPは理解のための分解です。1回のDOMアクセスが4回のHTTP通信や4回の非同期処理になるわけではありません。

読み込み済みのiframeをframeで参照し、注文ページにid="order-id"の要素がある例です。

const orderId = frame.contentWindow.document
  .getElementById("order-id").textContent;

同一オリジンではA-1042を取得します。別オリジンではcontentWindow.documentへのアクセスが拒否され、SecurityErrorになります。異なるAPIやすべてのSOP違反が同じエラーになる、という意味ではありません。[S03][S04]

対応を説明するコードであり、教材では実行しません。