为什么ajax 必须同源，same origin policy

ajax 所有请求都会附带主域的cookie，

若没有同源策略，攻击者就可以获取你的cookie，状态。