这里说一下我的理解吧：

如果浏览器能像本地应用程序那样做好沙盒环境，保证一个网站无法读取到另一个网站的本地数据（包括 cookie 、localstorage 等等）的话，对于网站而言，这样的安全性已经足够了。但是网页和本地应用最大的区别是网页打开太方便了，导致用户受到的网络攻击的可能性远远高于本地应用，并且浏览器对自己采取的安全措施十分不放心，正如这个[回答]( https://stackoverflow.com/questions/29167428/same-origin-policy-and-cors-whats-the-point)中说的一样，浏览器的安全措施如果仅仅是刚好够用的话都已经不能满足 W3C 对安全的要求了

`This all shows that the security model of WWW is very subtle and not well thought of. It has evolved instead of being well-designed. `

如果允许网页无限制地访问非同源网站内容，那么浏览器潜在的漏洞导致的安全事故会极大地影响互联网的安全，除去可能存在的隐私泄漏问题，恶意网站还可能会让每一个访问它的用户为它打工，例如静默访问其他网站刷取点击量，或者成为 DDOS 的帮凶，因此 W3C 才选择了现在的这个极为严格的同源策略作为安全手段，就是为了尽可能减少安全问题。