域为子域设置cookie

Question

我查看了许多有关 cookie 的问题，但没有找到我的问题的答案。我有以下场景：

用户在 example.com 上创建登录，并且应该获得一个 cookie，但仅限于子域 fuu.example.com。我生成以下 HTTP 标头部分：

Set-Cookie: name=TestUser; Domain=fuu.example.com; Path=/; secure; HttpOnly 

但是当我向 https://fuu.example.com，cookie 将不会添加到请求中。我想知道example.com是否可以为fuu.example.com设置cookie。我知道 example.com 可能为 .example.com 设置了 cookie，也为 example.com 的所有子域设置了 cookie，但事实并非如此我想要什么。

如何为子域设置 cookie？我在对子域的请求中没有看到 cookie。

Answer 1

否。 此外，fuu.example.com 是无效的 Domain 值（它必须以 . 开头，即 .fuu.example.com)（请参阅下面的更新）cookie 将被拒绝：

为了防止可能的安全或隐私侵犯，如果满足以下任一条件，用户代理将拒绝 Cookie（不得存储其信息）：

• 请求主机是完全限定域名（不是 IP 地址），格式为 HD，其中 D 是域名的值 属性，H 是包含一个或多个点的字符串。

请求主机为 example.com，Domain 属性值为 foo.example.com。但请求主机 example.com 不具有 HD 格式，其中 D 为 foo.example.com。因此 cookie 被拒绝。

---

更新   当前规范RFC 6265（上面引用的已废弃的 RFC 2109）确实忽略了前导点。但有效域的处理方式相同：

[...] 如果 Domain 属性的值为
“example.com”，用户代理会将cookie包含在Cookie中
向 example.com 发出 HTTP 请求时的标头，www.example.com ，以及
www.corp.example.com。 （请注意，前导 %x2E（“.”）如果存在，
即使不允许该字符，也会被忽略，但是
尾随 %x2E (".")，如果存在，将导致用户代理忽略
属性。）

[…] 用户代理将接受带有
来自“example.com”或“foo.example.com”的域属性
foo.example.com，但是用户代理不会接受带有
“bar.example.com”或“baz.foo.example.com”的域属性。

Answer 2

仅当在 Set-Cookie 标头中显式指定域时，example.com 和 foo.example.com 2 个域才能共享 Cookie。否则，cookie 的范围仅限于请求主机。

例如，如果您从 foo.example.com 发送以下标头：

Set-Cookie: name=value

则不会向 example.com 发送请求的 Cookie。但是，如果您使用以下内容，它将在两个域上都可用：

Set-Cookie: name=value; domain=example.com

在 RFC 2109 中，没有前导点的域意味着它不能在子域上使用，并且只有一个前导点（.example.com) 将允许它跨子域使用。

然而，现代浏览器尊重较新的规范 RFC 6265，并且会忽略任何前导点，这意味着您可以在子域以及顶级域上使用 cookie。

总而言之，如果您从 example.com 设置像上面第二个示例一样的 Cookie，则 foo.example.com 可以访问它，反之亦然。

有关更多详细信息：https://stackoverflow.com/a/23086139/5466401

Answer 3

实际上，有一种简单且完全跨浏览器的支持方式可以在原始域和子域之间共享 cookie，但您应该在设置时间共享它，以便在浏览器中轻松使用 cookie 内容，我正在使用 js-cookie 并使用以下设置 cookie，它可以在原始域和所有域之间共享其子域：

Cookie.set('key', 'value', { domain: '.domain.com' })

// a . added before domain name

提示：添加此 . 将与所有子子域共享 cookie。