URL は複数の部品でできている。後半の多くの脆弱性（オリジン／リダイレクト／ トラバーサル／DOM系XSS）は、この部品のどこを攻撃者が握れるかで決まる。
| スキーム（プロトコル） | https |
| ホスト | lab.example.com |
| ポート | 8443 |
| ユーザー情報 | user |
| パス | /shop/item.php |
| クエリ文字列（?以降・サーバーに送られる） | id=42&cat=book |
| フラグメント（#以降・サーバーに送られない＝DOM系XSSの温床） | reviews |
オリジン＝ スキーム＋ホスト＋ポート の3点セット。この3つが全て一致して初めて「同一オリジン」。