什么是跨域，为什么会有跨域问题的出现

【问题】

使用allure生成报告，当报告用本地的文件夹直接打开html文件之后，发现页面资源都加载不出来...只有用

npm run open-allure

才能正常加载出来

页面某些资源请求失败，打开浏览器F12发现提示：

from origin 'null' has been blocked by CORS policy: Cross origin requests are only supported for protocol schemes: http, data, chrome, chrome-extension, chrome-untrusted, https.

其实是浏览器 同源策略 问题，或者叫 跨域问题 
常见于用Chrome调试脚本的时候，需要加载的脚本和location不同源

【跨域】

浏览器从一个域名的网页去请求另一个域名的资源时，域名、端口、协议任一不同，都是跨域

【为什么会有跨域】

在前后端分离的模式下，前后端的域名是不一致的，此时就会发生跨域访问问题。在请求的过程中我们要想回去数据一般都是post/get请求，所以..跨域问题出现

跨域问题来源于JavaScript的同源策略，即只有 协议+主机名+端口号(如存在)相同，则允许相互访问。也就是说JavaScript只能访问和操作自己域下的资源，不能访问和操作其他域下的资源。

跨域问题是针对JS和ajax的，html本身没有跨域问题，比如a标签、script标签、甚至form标签（可以直接跨域发送数据并接收数据）等

跨域的方案

CORS: 服务器设置允许，浏览器要能够识别这个头

JSONP:

浏览器script的src支持跨域访问，发了一个callback去服务器

服务器接受callback 返回了一个函数的调用携带了数据回来

浏览器接收到返回值当做js解析，执行代码

【什么是同源策略】

1、同源策略/SOP（Same origin policy）是一种约定，由Netscape公司1995年引入浏览器，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，浏览器很容易受到XSS、CSFR等攻击。
2、所谓同源是指"协议+域名+端口"三者相同，即便两个不同的域名指向同一个ip地址，也非同源。
3、同源策略限制以下几种行为：
（1）Cookie、LocalStorage 和 IndexDB 无法读取
（2）DOM 和 Js对象无法获得
（3）AJAX 请求不能发送

浏览器采用同源策略，禁止页面加载或执行与自身来源不同的域的任何脚本。换句话说浏览器禁止的是来自不同源的"document"或脚本，对当前"document"读取或设置某些属性。

情景： 

比如一个恶意网站的页面通过iframe嵌入了银行的登录页面（二者不同源），如果没有同源限制，恶意网页上的javascript脚本就可以在用户登录银行的时候获取用户名和密码。

浏览器中有哪些不受同源限制呢？