Jak ustawić plik cookie dla innej domeny

Załóżmy, że mam wywoływaną witrynę internetową a.com, a kiedy ładuje się konkretna strona tej witryny, powiedzmy łącze do strony, chcę ustawić plik cookie dla innej witryny o nazwie b.com, a następnie przekierować użytkownika do b.com.

Chodzi mi o to, że po załadowaniu a.com/linkchcę ustawić plik cookie dla b.comi przekierować użytkownika do b.com.

Przetestowałem to i przeglądarka faktycznie otrzymała plik cookie od a.com/link, ale nie wysłała go w żądaniu przekierowania do b.com. Jest to normalne?

Czy możemy ustawić pliki cookie dla innych domen?

Nie możesz ustawić plików cookie dla innej domeny. Zezwolenie na to stanowiłoby ogromną lukę w zabezpieczeniach.

Aby ustawić plik cookie, musisz pobrać b.com. Jeśli a.com przekierowuje użytkownika dob.com/setcookie.php?c=value

Skrypt setcookie może zawierać następujące elementy służące do ustawienia pliku cookie i przekierowania do właściwej strony w witrynie b.com

<?php
    setcookie('a', $_GET['c']);
    header("Location: b.com/landingpage.php");
?>

Podobnie jak w przypadku pierwszej odpowiedzi, ale zamiast przekierowywania na stronę iz powrotem, co spowoduje złe wrażenia użytkownika, możesz ustawić obraz w domenie A.

<img src="http://www.example.com/cookie.php?val=123" style="display:none;">

Następnie w domenie B, czyli example.com w pliku cookie.php, będziesz mieć następujący kod:

<?php
    setcookie('a', $_GET['val']);
?>

Hattip do Subin

Prawdopodobnie możesz Iframedo tego użyć . Facebook prawdopodobnie używa tej techniki. Możesz przeczytać więcej na ten temat tutaj . Stackoverflow używa podobnej techniki, ale z lokalną pamięcią HTML5, więcej na ten temat na ich blogu

Ustawienie plików cookie dla innej domeny nie jest możliwe.

Jeśli chcesz przekazać dane do innej domeny, możesz zakodować to w adresie URL.

a.com  ->  b.com/redirect?info=some+info (and set cookie) -> b.com/other+page

Nie możesz, przynajmniej nie bezpośrednio. To byłoby paskudne zagrożenie bezpieczeństwa.

Chociaż można określić atrybut domeny , w specyfikacji jest napisane: „Klient użytkownika odrzuci pliki cookie, chyba że atrybut domeny określa zakres dla pliku cookie, który obejmowałby serwer pochodzenia”.

Ponieważ serwer pochodzenia jest a.comi nie obejmuje b.com, nie można go ustawić.

Zamiast tego musisz b.comustawić plik cookie. Możesz to zrobić za pomocą (na przykład) przekierowań HTTP do b.comiz powrotem.

Jeśli masz a.my-company.comi b.my-company.comzamiast tylko a.comi b.commożesz wystawić plik cookie dla .my-company.comdomeny - zostanie on zaakceptowany i wysłany do obu domen.

zobacz RFC6265 :

Agent użytkownika odrzuci pliki cookie, chyba że atrybut domeny określa zakres dla pliku cookie, który obejmuje serwer pochodzenia. Na przykład agent użytkownika zaakceptuje plik cookie z atrybutem domeny „example.com” lub „foo.example.com” z foo.example.com, ale klient użytkownika nie zaakceptuje pliku cookie z atrybutem domeny równym „bar.example.com” lub „baz.foo.example.com”.

UWAGA: Ze względów bezpieczeństwa wiele programów użytkownika jest skonfigurowanych tak, aby odrzucać atrybuty domeny, które odpowiadają „publicznym sufiksom”. Na przykład niektóre programy użytkownika odrzucają atrybuty domeny „com” lub „co.uk”. (Aby uzyskać więcej informacji, patrz Rozdział 5.3).

Ale wspomniane powyżej obejście z image / iframe działa, chociaż nie jest zalecane ze względu na jego niepewność.

Nie możesz, ale ... Jeśli jesteś właścicielem obu stron, to ...

1) Możesz wysłać dane za pomocą parametrów zapytania ( http://siteB.com/?key=value )

2) Możesz utworzyć ramkę iframe witryny B wewnątrz witryny A i wysyłać wiadomości pocztowe z jednego miejsca do drugiego. Ponieważ witryna B jest właścicielem plików cookie witryny B, będzie mogła ustawić dowolną potrzebną wartość, przetwarzając poprawną wiadomość pocztową. (Powinieneś uniemożliwić innym niechcianym nadawcom wysyłanie do Ciebie wiadomości! To zależy od Ciebie i mechanizmu, którego zdecydujesz się użyć, aby temu zapobiec)

W tym linku znajdziemy rozwiązanie Link .

setcookie("TestCookie", "", time() - 3600, "/~rasmus/", "b.com", 1);

Wyślij żądanie POST od A. Żądania pocztowe znajdują się tylko po stronie serwera i klient nie może uzyskać do nich dostępu.

Możesz wysłać żądanie POST z a.comdo, b.comużywając CURL (zalecane, po stronie serwera) lub ukrytego method="POST"formularza (po stronie klienta). Jeśli zdecydujesz się na to drugie, możesz chcieć zaciemnić swój JavaScript, aby użytkownik nie był w stanie zrozumieć algorytmu i ingerować w niego.

Włącz bramę, b.comaby ustawić pliki cookie:

<?php
    if (isset($_POST['data']) {
        setcookie('a', $_POST['data']);
        header("Location: b.com/landingpage");
    }
?>

Jeśli chcesz pójść o krok dalej w zakresie bezpieczeństwa, zaimplementuj po obu stronach ( a.comi b.com) funkcję szyfrowania (włączania a.com) i deszyfrowania (włączania b.com) danych przy użyciu szyfru kryptograficznego.

Jeśli próbujesz zrobić coś, co musi być absolutnie bezpieczne (np. Przenieść sesję logowania), wypróbuj OAuth lub zainspiruj się https://api.cloudianos.com/docs#v2/auth