Javascript - 带凭据的XmlHttpRequest.Send（用户名和密码）

Question

带有用户名和密码的xhr.open（...）仅在脚本与URI位于同一域时才有效。这似乎是由于所谓的同源政策。正如人们会从这个答案here on StackOverflow中注意到的那样，可以使用xhr请求发送显式授权标头，从而绕过相同的源策略。

问题是为什么我们为什么要有这个相同的原始政策，只需很少的努力就可以绕过它？

提前致谢！