关于 p3p 配置简洁策略以及浏览器的支持情况

发布于 2021-08-18 13:07:19 字数 7819 浏览 1422 评论 0

从本质上来说，P3P 策略是由一系列多选项问题的答案组成的，因此，它并不总像一个人类可读的隐私策略那样包含许多信息细节（例如，用英语或者其他某种口语语言写成的策略是用来让人阅读的,而不是让计算机识别的）。P3P 策略的标准格式使它便于自动处理。

同样，P3P规范也包含有用于请求和传输 P3P 策略的协议。P3P协议所基于的HTTP协议与 Web 浏览器用来与 Web 服务器进行通信的 HTTP 协议相同。P3P 的用户代理使用标准的 HTTP 请求从 Web 站点上一个众所周知的地方获取 P3P 策略引用文件，并发送给发出请求的用户。

这个策略引用文件指出了Web站点上各个部分所应用的P3P策略文件的位置。整个站点有可能只应用了一种策略，也可能是网站的不同部分分别应用了几种策略。这样用户代理就可以根据用户的选择来获取合适的策略，将其解析出来并采取相应的动作

P3P 也允许站点在其他位置放置策略引用文件。在这些情况下，站点在声明策略引用文件的位置时，必须使用一个特定的 HTTP 报头，或者在应用了 P3P 策略的 HTML 文件内嵌入一个 LINK 标记。
不论在何时设置 cookie 都可以用特定的 HTTP 报头来传送一个可选的 P3P 简洁策略。简洁策略是完整 P3P 策略的一个短小摘要，仅描述了与cooki e 相关的数据处理方式，并且不需要P3P 策略的完整的表达性能。

如何使 Web 站点支持 P3P

从技术角度看，使 Web 站点支持 P3P 是一个很容易的过程。但是，它要求网络运营商在审视数据处理方式时比以前更加仔细，并要求他们协调域内各个主机上的策略和处理方式。以下是如何使站点支持P3P 技术的具体步骤。

1. 创建一个隐私策略。
2. 分析 cookie 的使用情况以及您的站点上的第三方内容。
3. 确定要对整个站点应用一个P3P策略还是对站点的不同部分应用不同的P3P 策略。
4. 为站点创建一个或几个 P3P 策略。
5. 为站点创建一个策略引用文件。
6. 为 P3P 配置服务器。
7. 测试站点，以确定它确实支持 P3P。

大多数支持P3P 的Web站点会在每台服务器上放置一个P3P策略引用文件，同时它还会在中央服务器上放置一个或多个P3P策略。这些站点也会将自己的服务器配置为用户在设置 cooki e 时发送 P3P 的简洁策略。P3P 策略包括以下信息：

如何与拥有该站点的公司、组织或个人进行联系的信息。
用户是否可以查找该站点的数据库中保存了自己的哪些个人信息。
如何解决与站点之间有关隐私的纠纷（如客户服务台、隐私封印以及与隐私相关的法律等）。
所收集数据的种类。
所收集数据的使用方式，以及用户是否能选择接受或拒绝这些用途。
信息是否会被共享以及何时被共享，用户是否有选择的权力。
对所收集的用户信息进行定期清除的策略。

有很多软件工具可以帮助Web站点开发人员开发支持 P3P 的站点。

要想了解最新的 P3P 工具列表，请访问 http://p3ptoolbox.org/tools/ 和 http://www.w3.org/P3P/implementations/

简洁策略对应的 HTTP Response Header

Compact Policies 简洁策略

简洁策略，本质上就是 P3P 策略的一个摘要，他们的作用是，使用户代理，可以快速敏捷的获取到站点的 P3P 策略信息，所以是对性能有益的。
为了深入的解释简洁策略，按照 P3P1.0[4] 规范，我们列出下面这些限制性的语法：

compact-policy-field = `CP="` compact-policy `"`
compact-policy = compact-token *(" " compact-token)
compact-token = compact-access |
compact-disputes |
compact-remedies |
compact-non-identifiable |
compact-purpose |
compact-recipient |
compact-retention |
compact-categories |
compact-test
compact-access = "NOI" | "ALL" | "CAO" | "IDC" | "OTI" | "NON"compact-disputes = "DSP"
compact-remedies = "COR" | "MON" | "LAW"
compact-non-identifiable = "NID"
compact-purpose = "CUR" | "ADM" [creq] | "DEV" [creq] | "TAI" [creq] |
"PSA" [creq] | "PSD" [creq] | "IVA" [creq] | "IVD" [creq] | "CON" [creq] | "HIS" [creq] | "TEL" [creq] | "OTP" [creq]
creq = "a" | "i" | "o"
compact-recipient = "OUR" | "DEL" [creq] | "SAM" [creq] | "UNR" [creq] | "PUB" [creq] | "OTR" [creq]
compact-retention = "NOR" | "STP" | "LEG" | "BUS" | "IND"compact-category = "PHY" | "ONL" | "UNI" | "PUR" | "FIN" | "COM" |
"NAV" | "INT" | "DEM" | "CNT" | "STA" | "POL" | "HEA" | "PRE" | "LOC" | "GOV" | "OTC"
compact-test = "TST"

我们常用的简洁策略的 P3P 头为 - P3P : CP=CAO PSA OUR （其实，CP= 就可以了，或者其他任何值都是可以的）分别对应了 :

compact-access(访问) : CAO - contact-and-other 
Identified Contact Information and Other Identified Data: access is given to identified
online and physical contact information as well as to certain other identified data.

直译 : 被识别的联系信息，和其他被识别的数据：网上或现实中的联系信息，和某些被识别的数据，允许被访问。

我的理解：应该是，允许被确认的信息和数据的访问，允许第三方 Cookie 的读写。

compact-purpose(目的) : PSA - pseudo-analysis .这个就不放解释了,字面意思很明显, 目的就是做身份验证、分析
compact-recipient(受体) : OUR - ours
Ourselves and/or entities acting as our agents or entities for whom we are acting as an agent: An 
agent in this instance is defined as a third party that processes data only on behalf of the service 
provider for the completion of the stated purposes. (e.g., the service provider and its printing 
bureau which prints address labels and does nothing further with the information

直译 : 我们自己，以及（或）实体作为我们自己的代理，或被我们所代理方的实体：这种情况下的代理，被定义为，相关进程数据，代表服务提供者，用来完成其所设定服务的，第三方。就好像，一个印刷局作为提供打印服务的，服务提供者，其只负责打印标签神马的，但是却不会进一步，对相关的信息，做任何事情。

我的理解：声明使用相关信息的人是谁。这里声明是第三方自己，或作为代理。需要操作第三方 Cookie。大概就是这个意思.

ps : 其他项就不列举，基于浏览器中只有IE支持，Chrome 部分支持。这一事实，深入研究没有必要，如果你有兴趣，可以去相关链接查看文档。

用户代理对简洁策略支持的状况和实现，拿 IE6 来说：

IE6 可以自动核对设置了 Cookie 的站点的 P3P 简洁策略。用户也可以配置 IE6 来过滤那些没有简洁策略的 Cookie，或那些具有与他们的偏好不相匹配的简洁策略。当 cookie 被阻止时，IE6 还会在浏览器的右下角显示一个眼睛符号。用户也可以从 View（查看）菜单中选择 Privacy Report（隐私报告）命令来让 IE6 获取站点的 P3P 策略，并生成及显示一个人们可读取的版本

对于众多提示性的反馈，是十分符合 P3P 隐私策略的，即用户代理应该在恰当的时候，提醒用户。

已测知的问题

IE6 第三方cookie 在有 p3p 头（使用p3p简洁策略时），JS 虽然有读写权限，但是在写的时候有个 bug，即对于某第三方页面，如果是首次读到，其P3P头的话，则 js 的写权限是没有的，必须要第二次访问到这个页面，且这个页面存在第三方 cookie 操作时，才允许 JS 写入 Cookie，当然，读是一直没问题的。

Safair3 则顽固到连 Post 方式都无法写入第三方 Cookie。

Safari4+ 系列则有自己一套隐私策略，而完全无视 P3P 的存在：在其不支持 P3P 的情况下，其策略为，默认设置浏览器禁止第三方 Cookie 操作，那么此时，无论 JS 还是 HTTP ，都无写入Cookie的权限，而仅具备读的权限。

除非，进行表单 Post 时，才允许第三方 Cookie 的写入。参考下面的伪代码：

if(Safari4或Safari5){
var ifm = document.createElement('iframe');
ifm.name ="postforcookie";
ifm.src="about:blank";
document.body.appendChild(ifm);

var form = document.createElement('form');
form.target = 'postforcookie';
form.action = '//www.php.com/test.php';
document.body.appendChild(form);

Cookie.setCookie = function () {
form.submit();
}
}

假设 setCookie 是一个写入第三方 Cookie 的函数，则在 Sacari4、Sacari5 下劫持他们，触发代码中 form 的 submit 即可。
此时，如果 //www.php.com/test.php，有写入 Cookie 的操作，则可以保证第三方 Cookie 被写入。

默认不禁止第三方 Cookie 的浏览器测试

测试为在下列浏览器中，禁止第三方 Cookie，并配置简洁 P3P 策略。

Firefox 下：Firefox 下禁止第三方 Cookie 后，很直接，无论HTTP 还是 JS 都无法读写 Cookie。

Chrome：Chrome 10 开始，支持用户自定义是否允许在地址栏：about:flags 中配置是否允许第三方cookie。
而之前的版本需要通过，选项-高级选项-隐私权-内容设置-拦截第三方 cookie 来配置。

对于 chrome9 和之前的 Dev 版本来说，通过选项配置禁止第三方 cookie 后，在配置 P3P 简洁策略后 JS 可读 cookie，但不能写，而 HTTP方式，则都可以。
而 chrome10+ 无论选择什么方式设置，只允许 HTTP、JS 读，但是不允许写。

而 Chrome 的非 Dev 版，甚至没有提供第三方 Cookie 的隐私策略选项，有的仅仅是，关于 Cookie 的站点允许列表，或者主动访问过的站点的 Cookie。

Opera：通过工具-首选项-高级-Cookie-仅接受来自我访问站点的 Cookie 来设置禁止第三方 Cookie。

Opera 的有趣之处在于，一但禁止第三方 Cookie，则 P3P头毫无意义，而 Opera 自身的隐私策略则非常有趣，允许 JS 的读写，以及 HTTP 的读。但是禁止 HTTP 对 Cookie 的写入。

总结

浏览器	默认允许第三方Cookie	是否支持 P3P	禁止第三方 Cookie 后，配置 P3P 简明策略头的效果	补充
IE6	否	是	HTTP 可读写 Cookie JS 可读 Cookie 首次读到 P3P 头，JS无写 Cookie 权限，第二次才 OK，第二次，直接 Cache，也不行，除非第一次非 Cache 并读到 p3p头，后面我会提到解决方案。	避免JS的写操作
IE7-IE9	否	是	HTTP、JS 可随意读写.	-
FireFox	是	否	HTTP、JS 都不可读写	-
Chrome	是	部分支持，趋势-否	趋势为HTTP、JS可读不可写.	-
Safari	否	否	HTTP、JS可读不可写	借助 Post 提交表单，实现写操作。
Opera	是	否	JS 可读写 HTTP 可读不可写.	-

建议

1. 其实 P3P 简洁策略，可以最简写成：P3P:CP=，就 OK 啦，也就是说IE对P3P简洁策略的支持，属于搞笑级别的，根本不看内容，至少对于第三方操作 cookie 是如此的。
2. IE6的实现有 bug，需要注意，首次访问第三方页面，JS 无法写入第三方 Cookie 的 bug，建议尽量避免JS对Cookie的写操作。
3. 要搞定 Safari，需要借助后台至少配置一个 APP，与前台配合，5.14+ 已不可用.)
4. 对于第三方来说，建议避免使用JS操作Cookie，最多用来读，而不是写，除非是和登录验证有关，否则建议使用 Storage 代替 Cookie 的使用。

最后

如果你非要用在 ie6下，用 js 写 cookie，那么有一个很悲剧的做法，服务器端给资源配置可缓存，包括反向代理和客户端。然后想办法在IE6的时候刷新一次页面，这样就 ok 了，刷新时一定要用 location.reload(false)，即先忽略客户端缓存，尝试304服务器端校验客户端缓存可靠性，这样做的好处是，即保证了 cookie 的写入性，又保证，如果页面是静态资源，则反向代理的可用性，否则还是直接用动态资源，http 方式去写好了，需要注意的是，除了页面刷新，譬如其他方式加载页面资源，试图通过预读其p3p简洁策略头，是无效的，比如用 script type="text/c" 方式去预读一次，如果你有这个想法。还是早早放弃的好。

ps : 如果遇到 ie6 中 js 死活都写不进去 cookie ，试试设置 <meta charset=utf-8 />，至于为毛，我也不知道，只知道，不声明编码方式，可能导致 ie6 配置 p3p 后 js 还是写不了 cookie 的 bug，并提示：读不到隐私策略 balablabla 的。