跨域 Cookie

Question

我在两个不同的域中有两个网络应用程序 WebApp1 和 WebApp2。

1. 我在 HttpResponse 的 WebApp1 中设置 cookie。
2. 如何从WebApp2中的HttpRequest读取相同的cookie？

我知道这听起来很奇怪，因为 cookie 是特定于给定域的，我们无法从不同的域访问它们；不过，我听说过跨域 cookie，它可以在多个网络应用程序之间共享。如何使用跨域cookie来实现这个要求？

注意：我正在尝试使用 J2EE webapps

Answer 1

是的，完全可以通过domain2.example从domain1.example获取cookie。我的社交网络的社交插件也遇到了同样的问题，经过一天的研究，我找到了解决方案。

首先，在服务器端，您需要具有以下标头：

header("Access-Control-Allow-Origin: http://origin.domain:port");
header("Access-Control-Allow-Credentials: true");
header("Access-Control-Allow-Methods: GET, POST");
header("Access-Control-Allow-Headers: Content-Type, *");

在 PHP 文件中，您可以使用 $_COOKIE[name]

其次，在客户端：

在 AJAX 请求中，您需要包含 2参数

crossDomain: true
xhrFields: { withCredentials: true }

示例：

type: "get",
url: link,
crossDomain: true,
dataType: 'json',
xhrFields: {
  withCredentials: true
}

Answer 2

正如其他人所说，您不能共享 cookie，但您可以执行以下操作：

1. 将所有 cookie 集中在一个域中，例如
2. 当用户向 example 发出请求时使用 cookiemaker.example。 com 你将他重定向到 cookiemaker.example
3. cookiemaker.example 将他重定向回 example.com 并提供您需要的信息

当然，它并不完全安全，您必须在应用程序之间创建某种内部协议才能做到这一点。

最后，如果您在每个请求中都执行类似的操作，但如果只是第一个请求则不会，这对用户来说会非常烦人。

但我认为没有其他办法。

Answer 3

据我所知，cookies受到“同源”政策的限制。但是，通过 CORS，您可以接收并使用“服务器 B”cookie 在“服务器 B”上建立来自“服务器 A”的持久会话。

不过，这需要“服务器 B”上的一些标头：

Access-Control-Allow-Origin: http://server-a.example.com
Access-Control-Allow-Credentials: true

并且您需要在所有“服务器 A”请求上发送标志“withCredentials”（例如：xhr.withCredentials = true;）

您可以在这里阅读：

http://www.html5rocks.com/ en/tutorials/cors/

https://developer.mozilla.org /en-US/docs/HTTP/Access_control_CORS

Answer 4

不存在跨域 cookie 这样的东西。您可以在 foo.example.com 和 bar.example.com 之间共享 Cookie，但不能在 example.com 和 example2 之间共享 Cookie。 com 这是出于安全原因。

Answer 5

最明智的解决方案是效仿 Facebook 的做法。当您访问任何域名时，Facebook 如何知道您是谁？它实际上非常简单：

“赞”按钮实际上允许Facebook 跟踪外部网站的所有访问者，无论他们是否点击该网站。 Facebook 可以做到这一点，因为他们使用 iframe 来显示按钮。 iframe 类似于页面中的嵌入式浏览器窗口。使用 iframe 和按钮的简单图像之间的区别在于，iframe 包含一个完整的网页 - 来自 Facebook。除了按钮和有关有多少人喜欢当前页面的信息之外，此页面上没有太多内容。

因此，当您在 cnn.com 上看到“点赞”按钮时，您实际上是在同时访问 Facebook 页面。这使得 Facebook 能够读取您计算机上的 cookie，该 cookie 在您上次登录 Facebook 时创建。

每个浏览器的基本安全规则是只有创建 cookie 的网站才能稍后读取它。这就是 iframe 的优点：即使您正在访问不同的网站，它也允许 Facebook 读取您的 Facebook-cookie。这就是他们在 cnn.com 上识别您并在那里显示您的朋友的方式。

来源：

• http://dorianroy.com/blog/2010/ 04/how-facebooks-like-button-works/
• https://stackoverflow.com/a/8256920/715483< /a>

Answer 6

不允许跨域 cookie（即站点 A 无法在站点 B 上设置 cookie）。

但是一旦站点 A 设置了 cookie，您甚至可以在从站点 B 到站点 A 的请求中发送该 cookie （即跨域请求）：

来自不同域的

XMLHttpRequest 无法为其自己的域设置 cookie 值，除非在发出请求之前将 withCredentials 设置为 true。通过将 withCredentials 设置为 true 获得的第三方 Cookie仍将遵循同源策略，因此请求脚本无法通过以下方式访问document.cookie 或来自响应标头。

确保执行以下操作：

1. 在响应中设置 cookie 时
   • 如果请求是跨站点的，Set-Cookie 响应标头包含 SameSite=None（请注意来自 www 的请求） .example.dev 到 static.example.dev 实际上是一个同站点请求，并且可以使用 SameSite=Strict）
   • 如果通过 HTTPS 提供服务，Set-Cookie 响应标头应包含 Secure 属性；如此处和此处
2. 发送/接收 cookie 时：
   • 请求是通过 withCredentials: true 发出的，如此处的其他答案中所述，并且此处，包括响应设置的原始请求首先设置的 cookie
     • 对于fetch API，此属性为credentials: 'include' 与 withCredentials: true
     • 对于 jQuery 的 ajax 方法，请注意您可能需要提供参数 crossDomain：正确
   • 服务器响应包含跨源标头例如 Access-Control-Allow-Origin、Access-Control-Allow-Credentials、Access-Control-Allow-Headers 和 访问控制允许方法
     • 正如 @nabrown 指出的：“请注意，如果您使用 ，“Access-Control-Allow-Origin”不能是通配符 (*) 值>withCredentials: true”（请参阅​​ @nabrown 的评论，其中解释了一种解决方法。
3. 一般来说：
   • 您的浏览器尚未禁用第 3 方 Cookie。 （*见下文）

您不需要的东西（只需使用上面的内容）：

1. Set-Cookie 中的domain 属性；您可以选择根域（即 a.example.com 可以设置域值为 example.com 的 cookie，但这不是必需的；cookie 仍将是发送到 a.example.com，即使是从 b.other-site.example.com 发送
2. 为了使 Cookie 在 Chrome 开发工具的“应用程序”选项卡中可见; 如果 cookie HttpOnly 属性的值为 true，Chrome 不会在“应用程序”选项卡中显示 cookie 值（它应该显示在初始请求中设置时的cookie值，以及在后续响应中发送时的cookie值，其中withCredentials：true）

请注意“path”和“site”之间的区别” 用于 Cookie 目的。“path”不与安全相关；“site”与安全相关：

path

服务器可以设置 Path 属性在 Set-Cookie 中，但它似乎与安全无关：

请注意，path 旨在提高性能，而不是安全性。即使路径不匹配，具有相同来源的网页仍然可以通过 document.cookie 访问 cookie。

site

SameSite 属性，根据 example.dev 文章，可以限制或允许跨站点 cookie；但什么是“网站”？

准确理解此处“站点”的含义很有帮助。该网站是域名后缀和其前面的域名部分的组合。例如，www.example.dev 域是 example.dev 站点的一部分...

这意味着对 static.example.dev 的请求来自 www.example.dev 的 code> 是一个 sameSite 请求（URL 的唯一区别在于子域）。

公共后缀列表定义了这一点，所以
它不仅包括 .com 等顶级域名，还包括服务
就像github.io

这意味着从 my-project.github.io 到 your-project.github.io 的请求是 aa 跨站点请求（这些URL位于不同的域，因为github.io是域后缀；域your-project与my -project 不同；因此不同的站点）

这意味着公共后缀的左侧；是子域（但是子域是主机的一部分；请参阅此答案中的奖励回复)

• www 是 www.example.dev 中的子域；与 static.example.dev 相同的站点
• your-project 是 your-project.github.io 中的域；单独的站点为 my-project.github.io

在此 URL https://www.example.com:8888/examples/index.html 中，记住以下部分

• ： “协议”：https://
  • “方案”：https
• “端口”：8888
• “域名”又名 location.hostname：www.example.com
  • “域名后缀”又名“顶级域名”(TLD)：com
  • “域”：示例
  • “子域名”：www（子域名可以是单级（如 www）或多级（类似于 foo.bar.example.com 中的 foo.bar）
• “站点”（如“跨站点”，如果另一个 URL 具有不同的“站点”值） ：example.com
  • “站点”=“域名”+“域名后缀”= example.com
• “路径”：/examples/index.html

有用链接：

• URL 剖析
• 同源 cookie 策略和 URL 剖析
• SameSite cookies 解释
• HTTP 的安全跨域 cookie |互联网服务与应用杂志|全文
• draft-ietf-httpbis-rfc6265bis-03
• 网络安全 1：同源和Cookie 政策
• Set-Cookie - HTTP | Cookie 政策 MDN

（小心；我正在 Chrome 隐身选项卡中测试我的功能；根据我的 chrome://settings/cookies；我的设置是“阻止第三个”隐身模式中的派对 cookie”，因此我无法在隐身模式中测试跨站点 cookie。）

Answer 7

您无法跨域共享 cookie。但是，您可以允许所有子域都有访问权限。要允许 example.com 的所有子域都具有访问权限，请将域设置为 .example.com。

不过，不可能授予 other.example 访问 example.com cookie 的权限。

Answer 8

做谷歌正在做的事情。创建一个 PHP 文件，在所有 3 个域上设置 cookie。然后在要设置主题的域上，创建一个 HTML 文件，该文件将加载在其他 2 个域上设置 cookie 的 PHP 文件。示例：

<html>
   <head></head>
   <body>
      <p>Please wait.....</p>
      <img src="http://domain2.example/setcookie.php?theme=whateveryourthemehere" />
      <img src="http://domain3.example/setcookie.php?theme=whateveryourthemehere" />
   </body>
</html>

然后在 body 标记上添加 onload 回调。仅当图像完全加载（即在其他 2 个域上设置 cookie）时，文档才会加载。 Onload 回调：

<head>
   <script>
   function loadComplete(){
      window.location="http://domain1.example";//URL of domain1
   }
   </script>
</head>
<body onload="loadComplete()">

setcookie.php

我们使用 PHP 文件在其他域上设置 cookie，如下所示：

<?php
if(isset($_GET['theme'])){
   setcookie("theme", $_GET['theme'], time()+3600);
}
?>

现在在三个域上设置了 cookie。

Answer 9

您可以尝试使用图像标签将 cookie val 推送到另一个域。

尝试执行此操作时，您的情况可能会有所不同，因为某些浏览器要求您在 WebApp2 域或浏览器上拥有适当的 P3P 策略将拒绝 cookie。

如果您查看 plus.google.com p3p 政策，您会发现他们的政策是：

CP="这不是 P3P 政策！请参阅 http://www.google.com/support/accounts/bin/answer.py?hl=zh-CN&answer=151657 了解详情。”

这是他们对这些跨域请求的 +1 按钮使用的策略。

另一个警告是，如果您使用 https，请确保图像标签指向 https 地址，否则 cookie 将不会设置。

Answer 10

这里有一个关于 Facebook 如何使用的不错的概述在 nfriedly.com 上执行此操作

还有浏览器指纹识别，它与 cookie 不同，但具有相似的用途，因为它可以帮助您相当确定地识别用户。 Stack Overflow 上有一篇文章这里 引用了一种指纹识别方法

Answer 11

人们可以使用不可见的 iframe 来获取 cookie。假设有两个域，a.example 和 b.example。对于a.example域的index.html，可以添加（注意height=0 width=0）：

<iframe height="0" id="iframe" src="http://b.example" width="0"></iframe>

这样您的网站将获得b.example< /code> cookie 假设 http://b.example 设置了 cookie。

接下来的事情是通过 JavaScript 操作 iframe 内的站点。如果不拥有第二个域，iframe 内的操作可能会成为一个挑战。但是，如果可以访问这两个域，则在 iframe 的 src 中引用正确的网页应该提供人们想要获取的 cookie。

Answer 12

我创建了一个 NPM 模块，它允许您跨域共享本地存储的数据：
https://www.npmjs.com/package/cookie-toss

通过使用iframe 托管在域 A 上，您可以将所有用户数据存储在域 A 上，并通过向域 A iframe 发布请求来引用该数据。

因此，域 B、C 等可以注入 iframe 并向其发送请求以存储和访问所需的数据。域A成为所有共享数据的中心。

通过域 A 内部的域白名单，您可以确保只有您的依赖站点可以访问域 A 上的数据。

诀窍是让域 A 上的 iframe 内部的代码能够识别正在请求哪些数据。上述 NPM 模块中的 README 更深入地介绍了该过程。

希望这有帮助！

Answer 13

因为很难做到第 3 方 cookie，而且某些浏览器也不允许这样做。

您可以尝试将它们存储在 HTML5 本地存储中，然后随前端应用程序的每个请求一起发送它们。

Answer 14

除了@Ludovic（批准的答案）答案之外，我们还需要在获取 set-cookies 标头时检查另一个选项，

set-cookie: SESSIONID=60B2E91C53B976B444144063; Path=/dev/api/abc; HttpOnly

即检查 Path 属性值。这应该与您的 API 启动上下文路径相同，如下所示

https://www.example.com/dev/api/abc/v1/users/123

，或者在不确定上下文路径时使用下面的值

Path=/;

Answer 15

function GetOrder(status, filter) {
    var isValid = true; //isValidGuid(customerId);
    if (isValid) {
        var refundhtmlstr = '';
        //varsURL = ApiPath + '/api/Orders/Customer/' + customerId + '?status=' + status + '&filter=' + filter;
        varsURL = ApiPath + '/api/Orders/Customer?status=' + status + '&filter=' + filter;
        $.ajax({
            type: "GET",
            //url: ApiPath + '/api/Orders/Customer/' + customerId + '?status=' + status + '&filter=' + filter,
            url: ApiPath + '/api/Orders/Customer?status=' + status + '&filter=' + filter,
            dataType: "json",
            crossDomain: true,
            xhrFields: {
                withCredentials: true
            },
            success: function (data) {
                var htmlStr = '';
                if (data == null || data.Count === 0) {
                    htmlStr = '<div class="card"><div class="card-header">Bu kriterlere uygun sipariş bulunamadı.</div></div>';
                }
                else {
                    $('#ReturnPolicyBtnUrl').attr('href', data.ReturnPolicyBtnUrl);
                    var groupedData = data.OrderDto.sort(function (x, y) {
                        return new Date(y.OrderDate) - new Date(x.OrderDate);
                    });
                    groupedData = _.groupBy(data.OrderDto, function (d) { return toMonthStr(d.OrderDate) });
                    localStorage['orderData'] = JSON.stringify(data.OrderDto);

                    $.each(groupedData, function (key, val) {

                        var sortedData = groupedData[key].sort(function (x, y) {
                            return new Date(y.OrderDate) - new Date(x.OrderDate);
                        });
                        htmlStr += '<div class="card-header">' + key + '</div>';
                        $.each(sortedData, function (keyitem, valitem) {
                            //Date Convertions
                            if (valitem.StatusDesc != null) {
                                valitem.StatusDesc = valitem.StatusDesc;
                            }

                            var date = valitem.OrderDate;
                            date = date.substring(0, 10).split('-');
                            date = date[2] + '.' + date[1] + '.' + date[0];
                            htmlStr += '<div class="col-lg-12 col-md-12 col-xs-12 col-sm-12 card-item clearfix ">' +
                        //'<div class="card-item-head"><span class="order-head">Sipariş No: <a href="ViewOrderDetails.html?CustomerId=' + customerId + '&OrderNo=' + valitem.OrderNumber + '" >' + valitem.OrderNumber + '</a></span><span class="order-date">' + date + '</span></div>' +
                        '<div class="card-item-head"><span class="order-head">Sipariş No: <a href="ViewOrderDetails.html?OrderNo=' + valitem.OrderNumber + '" >' + valitem.OrderNumber + '</a></span><span class="order-date">' + date + '</span></div>' +
                        '<div class="card-item-head-desc">' + valitem.StatusDesc + '</div>' +
                        '<div class="card-item-body">' +
                            '<div class="slider responsive">';
                            var i = 0;
                            $.each(valitem.ItemList, function (keylineitem, vallineitem) {
                                var imageUrl = vallineitem.ProductImageUrl.replace('{size}', 200);
                                htmlStr += '<div><img src="' + imageUrl + '" alt="' + vallineitem.ProductName + '"><span class="img-desc">' + ProductNameStr(vallineitem.ProductName) + '</span></div>';
                                i++;
                            });
                            htmlStr += '</div>' +
                        '</div>' +
                    '</div>';
                        });
                    });

                    $.each(data.OrderDto, function (key, value) {
                        if (value.IsSAPMigrationflag === true) {
                            refundhtmlstr = '<div class="notify-reason"><span class="note"><B>Notification : </B> Geçmiş siparişleriniz yükleniyor.  Lütfen kısa bir süre sonra tekrar kontrol ediniz. Teşekkürler. </span></div>';
                        }
                    });
                }
                $('#orders').html(htmlStr);
                $("#notification").html(refundhtmlstr);
                ApplySlide();
            },
            error: function () {
                console.log("System Failure");
            }
        });
    }
}

Web.config

包含 UI 来源并将允许凭据设置为 true

<httpProtocol>
      <customHeaders>
        <add name="Access-Control-Allow-Origin" value="http://burada.com" />
        <add name="Access-Control-Allow-Headers" value="Content-Type" />
        <add name="Access-Control-Allow-Methods" value="GET, POST, PUT, DELETE, OPTIONS" />
        <add name="Access-Control-Allow-Credentials" value="true" />
      </customHeaders>
    </httpProtocol>

Answer 16

三种主要的基于浏览器的存储：

1. 会话存储
2. 本地存储
3. cookie 存储

---

• 安全 cookie - 加密网站使用它来提供保护，防止黑客的任何可能的威胁.

• 访问 cookie - document.cookie。这意味着该 cookie 已公开，并且可以通过跨站点脚本进行利用。保存的cookie值可以通过浏览器控制台看到。

作为预防措施，您应该始终尝试使用 JavaScript 使客户端无法访问您的 cookie。

• HTTPonly - 确保无法使用 JavaScript 代码访问 cookie。这是针对跨脚本攻击的最重要的保护形式。

• 安全属性 - 确保浏览器拒绝 Cookie，除非通过 HTTPS 进行连接。

• sameSite 属性提高了 Cookie 安全性并避免隐私泄露。

• sameSite=Lax - 设置为 Lax (sameSite = Lax) 意味着仅当浏览器 URL 中的域与 cookie 的域匹配时才会设置 cookie，从而消除第三方的域。这将限制跨站点共享，甚至在同一发布者拥有的不同域之间也是如此。我们需要包含 SameSite=None 以避免 Lax 的新默认值：

注意：有一个规范草案要求当 SameSite 属性设置为“none”时，将 Secure 属性设置为 true。某些网络浏览器或其他客户端可能采用此规范。

• 使用 include 作为 { withCredentials: true } 必须包含来自前端的请求的所有 cookie。

const data = { email: '[email protected]' , password: '1234' };
const response = await axios.post('www.yourapi.com/login', data , { withCredentials: true });

• Cookie 只能通过安全的 HTTPS 连接接受。为了让它发挥作用，我们必须将 Web 应用程序迁移到 HTTPS。

在express.js

res.cookie('token', token, {
      maxAge: 1000 * 60 * 60 * 24, // would expire after (for 15 minutes  1000 * 60 * 15 ) 15 minutes
      httpOnly: true, // The cookie only accessible by the web server
      sameSite: 'none',
      secure: true, // Marks the cookie to be used with HTTPS only.
    });

参考1中，参考 2

Answer 17

读取 Web Api 中的 Cookie

var cookie = actionContext.Request.Headers.GetCookies("newhbsslv1");


                    Logger.Log("Cookie  " + cookie, LoggerLevel.Info);
                    Logger.Log("Cookie count  " + cookie.Count, LoggerLevel.Info);

                    if (cookie != null && cookie.Count > 0)
                    {
                        Logger.Log("Befor For  " , LoggerLevel.Info);
                        foreach (var perCookie in cookie[0].Cookies)
                        {
                            Logger.Log("perCookie  " + perCookie, LoggerLevel.Info);

                            if (perCookie.Name == "newhbsslv1")
                            {
                                strToken = perCookie.Value;
                            }
                        }
                    }