Firma hostuje po stronie klienta aplikację internetową w zasobniku S3 i udostępnia ją za pośrednictwem CloudFront pod adresem https://www.example.com. Deweloper konsoliduje wspólne pliki JavaScript i czcionek internetowych w centralnym zasobniku S3 w celu ponownego wykorzystania przez wiele witryn zależnych, ale przeglądarki blokują te udostępnione pliki JS i czcionek podczas testowania. Co powinien zrobić deweloper, aby przeglądarki zezwoliły na używanie udostępnionych plików JavaScript i czcionek internetowych przez inne aplikacje internetowe?

Przeglądarki internetowe implementują zasadę Same-Origin Policy (SOP), która blokuje żądania HTTP z jednej domeny do innej, aby zapobiec atakom typu Cross-Site Scripting (XSS). W tym scenariuszu, aplikacja internetowa hostowana pod adresem https://www.example.com próbuje załadować zasoby (JavaScript, czcionki) z innego zasobnika S3, co jest traktowane jako żądanie między domenami. Aby przeglądarka zezwoliła na to, centralny zasobnik S3 musi mieć skonfigurowane Cross-Origin Resource Sharing (CORS), które jawnie określa, które domeny mają prawo dostępu do jego zasobów. Pozostałe opcje są nieprawidłowe: Punkty dostępu S3 służą do zarządzania dostępem do danych w zasobnikach, ale nie rozwiązują problemu blokowania przez przeglądarkę z powodu SOP. Polityka zasobnika S3 kontroluje uprawnienia dostępu do zasobnika, ale również nie adresuje problemu SOP na poziomie przeglądarki. Nagłówek Content-MD5 służy do weryfikacji integralności danych, a nie do zezwalania na dostęp między domenami.