Mantengo una aplicación en la que accedo al origen a través de window.origin para crear algunas URL.

Funciona... pero tuve una alerta de seguridad porque parece que esta variable se puede escribir. Por ejemplo, ve a Google e inténtalo en las herramientas de desarrollo:

 > window.origin < 'https://www.google.com' > window.origin='yolo' < 'yolo' > window.origin < 'yolo'

De hecho, este es un problema de seguridad ya que mis URL están construidas así: window.origin + "/path/to/other/app" Si un atacante pudiera encontrar una manera de ejecutar este script window.origin = 'evil.com' , los clientes sería redirigido a una URL inesperada.

Descubrí que podía llamar a location.origin en su lugar, lo que parece más seguro:

 > location.origin < 'https://www.google.com' > location.origin='yolo' < 'yolo' > location.origin < 'https://www.google.com'

Pero, ¿funciona en todos los navegadores? ¿Hay alguna forma recomendada de obtener el origen?