python strict-origin-when-cross-origin

在 Python 中，"strict-origin-when-cross-origin" (简称 SOP) 不是一个直接的 Python 概念，它通常是指同源策略（Same-Origin Policy）的一个扩展概念，这个策略是 web 浏览器用来限制不同源之间数据交互的安全策略。在 JavaScript 中，SOP 原则确保了只有从同一个源（协议、域名和端口）发起的请求才能访问其他资源，如 cookies 和 API。

在讨论 Python 的上下文中，它可能是指 Flask 或 Django 等 Web 框架中用于处理跨域资源共享（Cross-Origin Resource Sharing, CORS）的配置选项。当你使用这些框架时，`strict-origin-when-cross-origin` 是一种 CORS 配置策略，它表示只有来自源站（`Access-Control-Allow-Origin`）的跨域请求才会应用更严格的策略，即只允许那些与原始请求来源相同的 origin。

具体设置例子：

from flask import Flask, jsonify, make_response

app = Flask(__name__)
app.config['CORS_HEADERS'] = 'Content-Type'
app.config['CORS_ORIGINS'] = ['http://example.com', 'https://subdomain.example.com']

@app.after_request
def after_request(response):
    if response.status_code == 200 and request.method == 'OPTIONS':
        response = make_response(jsonify({'allow_credentials': True,
                                          'access_control_allow_credentials': True,
                                          'access_control_allow_headers': '*',
                                          'access_control_allow_methods': '*',
                                          'access_control_allow_origin': '*'}), 204)
        response.headers['Access-Control-Max-Age'] = '1728000'  # 20 days
    return response

# 使用时确保在需要设置 CORS 的路由上应用此策略
@app.route('/api/data')
@cross_origin(origins=['*'], allow_headers='*', strict_origin_when_cross_domain=True)
def my_api():
    # ...