История изменений

А сама проблема из-за того, что веб был исторически спроектирован в сторону слишком простого использования, а не в сторону безопасности.

К примеру правильней было бы вообще запретить сайту делать любые HTTP запросы на другие домены кроме исходного. Хочешь картинку с другого сервера показать? Делай на своём сайте прокси, или ещё как-нибудь реализовывай, но в HTML это работать не будет. Хочешь отправлять форму на другой домен джаваскриптом? Да ты рехнулся, нельзя, вообще никак, без вариантов. Но - изначально сделали, что можно. И теперь пытаемся изолентой все эти дыры закрыть. Куча HTTP-заголовков, атрибутов и прочего, чтобы отрезать все ненужные возможности у сайта.

А сама проблема из-за того, что веб был исторически спроектирован в сторону слишком простого использования, а не в сторону безопасности.

К примеру правильней было бы вообще запретить сайту делать любые HTTP запросы на другие домены кроме исходного. Хочешь картинку с другого сервера показать? Делай на своём сайте прокси, или ещё как-нибудь реализовывай, но в HTML это работать не будет. Хочешь отправлять форму на другой домен джаваскриптом? Да ты рехнулся, нельзя, вообще никак, без вариантов. Но - изначально сделали, что можно. И теперь пытаемся изолентой все эти дыры закрыть.