ie浏览器IFRAME中Cookie被阻止/未保存

我有两个网站，比如说example.com和anotherexample.net。在anotherexample.net/page.html上，我有一个IFRAME SRC=“http://example.com/someform.asp”。IFRAME显示一个表单供用户填写并提交到http://example.com/process.asp。当我在它自己的浏览器窗口中打开表单(“someform.asp”)时，一切正常。然而，当我在ie6或ie7中加载someform.asp作为IFRAME时，example.com的cookie没有保存。在Firefox中，这个问题不会出现。

出于测试目的，我在http://newmoon.wz.cz/test/page.php上创建了一个类似的设置。

example.com使用基于cookie的会话(对此我无能为力)，因此如果没有cookie, process.asp将无法执行。我如何迫使IE保存这些cookie ?

嗅探HTTP流量的结果:在GET /someform.asp响应中，有一个有效的每会话Set-Cookie报头(例如Set-Cookie: ASPKSJIUIUGF=JKHJUHVGFYTTYFY)，但在POST /process.asp请求中，根本没有Cookie报头。

Edit3:一些AJAX+服务器端脚本显然能够避开这个问题，但这看起来非常像一个bug，而且它还打开了一组全新的安全漏洞。我不希望我的应用程序使用漏洞+安全漏洞的组合只是因为它很容易。

编辑:P3P政策是根本原因，详细解释如下。

当前回答

一种可能的做法是将域添加到工具-> internet选项-> privacy -> sites: somedomain.com -> allow -> OK。

2009-04-17 10:10:20

其他回答

在Rails 3.2中，我使用:

class ApplicationController < ActionController::Base  

  before_filter :set_p3p  

  private  
    # for IE session cookies thru iframe  
    def set_p3p  
      headers['P3P'] = 'CP="ALL DSP COR CURa ADMa DEVa OUR IND COM NAV"'  
    end  
end

我从http://dot-net-web-developer-bristol.blogspot.com/2012/04/setting-p3p-header-in-rails-session.html得到了这个

2015-06-18 20:27:11

遇到类似的问题，今天早上也去调查了如何生成P3P策略，这是我关于如何生成你自己的策略并在网站上使用的帖子:) http://everydayopenslikeaflower.blogspot.com/2009/08/how-to-create-p3p-policy-and-implement.html

2009-08-21 15:39:51

这里没有提到的一种解决方案是使用会话存储而不是cookie。当然，这可能不适合每个人的要求，但在某些情况下，这是一个很容易解决的问题。

2012-06-13 12:00:40

这个问题被埋在其他答案的评论中，但我几乎没有注意到，所以它似乎应该有自己的答案。

回顾一下:为了让IE接受第三方cookie，你需要为你的文件提供一个名为p3p的http头文件，格式如下:

CP="my compact p3p policy"

但是，在这一点上，p3p作为一个标准几乎已经死了，你可以很容易地让IE工作，而不需要投入时间和法律资源来创建一个真正的p3p策略。这是因为如果你的p3p策略头是无效的，IE实际上会把它当作一个好策略，并接受第三方cookie。你可以使用这样的p3p头文件

CP="This site does not have a p3p policy."

您可以选择包含一个页面链接，以解释为什么您没有p3p策略，就像谷歌和Facebook所做的那样(它们指向这里:https://support.google.com/accounts/answer/151657和这里:https://www.facebook.com/help/327993273962160/)。

最后，需要注意的是，第三方网站提供的所有文件都需要p3p头文件，而不仅仅是设置cookie的头文件，所以你可能不能在PHP、asp.net等代码中这样做。你最好在web服务器级别设置(即在IIS或Apache中)。

2013-05-24 14:16:26

你也可以将p3p.xml和policy.xml文件结合起来:

单击/ home / ubuntu sites -分享- w3c xml p3p。

<META xmlns="http://www.w3.org/2002/01/P3Pv1">
  <POLICY-REFERENCES>
    <POLICY-REF about="#policy1">
      <INCLUDE>/</INCLUDE>
      <COOKIE-INCLUDE/>
    </POLICY-REF>
  </POLICY-REFERENCES>
  <POLICIES>
    <POLICY discuri="" name="policy1">
      <ENTITY>
        <DATA-GROUP>
          <DATA ref="#business.name"></DATA> 
          <DATA ref="#business.contact-info.online.email"></DATA> 
        </DATA-GROUP>
      </ENTITY>
      <ACCESS>
        <nonident/>
      </ACCESS>
      <!-- if the site has a dispute resolution procedure that it follows, a DISPUTES-GROUP should be included here -->
      <STATEMENT>
        <PURPOSE>
          <current/>
          <admin/>
          <develop/>
        </PURPOSE>
        <RECIPIENT>
          <ours/>
        </RECIPIENT>
        <RETENTION>
          <indefinitely/>
        </RETENTION>
        <DATA-GROUP>
          <DATA ref="#dynamic.clickstream"/>
          <DATA ref="#dynamic.http"/>
        </DATA-GROUP>
      </STATEMENT>
    </POLICY>
  </POLICIES>
</META>

我发现添加头的最简单的方法是通过Apache代理和使用mod_headers，就像这样:

<VirtualHost *:80>
  ServerName mydomain.com

  DocumentRoot /home/ubuntu/sites/shared/w3c/

  ProxyRequests off
  ProxyPass /w3c/ !
  ProxyPass / http://127.0.0.1:8080/
  ProxyPassReverse / http://127.0.0.1:8080/
  ProxyPreserveHost on

  Header add p3p 'P3P:policyref="/w3c/p3p.xml", CP="NID DSP ALL COR"'
</VirtualHost>

因此，除了发送到/w3c/p3p.xml的请求外，我们将所有请求都代理到我们的应用服务器。

您可以使用W3C验证器进行测试

2012-11-09 15:46:56

ie浏览器IFRAME中Cookie被阻止/未保存

推荐文章

最新文章

标签