cross-domain 相关问题

浏览器 (Chrome) 不会从子 iframe 或弹出窗口设置 HttpOnly cookie 我有一个带有子 iframe 的父网页：父级 https://sub1.some-domain.com 孩子在 <div> </div> <h3>浏览器 (Chrome) 不会从子 iframe 或弹出窗口设置 HttpOnly cookie</h3> 我有一个带有子 iframe 的父网页： <pre><code>Parent at https://sub1.some-domain.com Child at <iframe src="https://sub2.some-domain.com"> (inside of parent) </code></pre> 我从父级向 API 发出 POST 请求 <pre><code>https://api.some-domain.com</code></pre>。 以下是响应标头： <pre><code>Access-Control-Allow-Credentials: true Access-Control-Allow-Origin: https://sub1.some-domain.com Set-Cookie: payload-name=payload-value; max-age=30; domain=some-domain.com; path=/; secure; samesite=none; httponly </code></pre> 之后， 从 Iframe 我向“https://api.some-domain.com”发出 GET 请求。 期望： 浏览器将 Httponly cookies <pre><code>payload-name=payload-value;</code></pre> 包含到请求中。 结果： 由于未知原因未包含 Httplonly cookie。 顺便说一句，我在 JS Http 请求中包含了“withCredentials”属性，所以这不会是一个问题。 更新 获取请求： <pre><code>fetch("https://api.some-domain.com/...", { "headers": { "accept": "application/json", "accept-language": "en-US,en;q=0.9,uk;q=0.8", "cache-control": "no-cache", "content-type": "application/json", "pragma": "no-cache", "sec-ch-ua": "\"Not/A)Brand\";v=\"99\", \"Google Chrome\";v=\"115\", \"Chromium\";v=\"115\"", "sec-ch-ua-mobile": "?0", "sec-ch-ua-platform": "\"Windows\"", "sec-fetch-dest": "empty", "sec-fetch-mode": "cors", "sec-fetch-site": "same-site" }, "referrer": "https://sub2.some-domain.com/", "referrerPolicy": "strict-origin-when-cross-origin", "body": null, "method": "GET", "mode": "cors", "credentials": "include" }); </code></pre> GET 响应标头： <pre><code>Access-Control-Allow-Credentials: true Access-Control-Allow-Origin: https://sub2.some-domain.com Cache-Control: no-store,no-cache Content-Encoding: gzip Content-Type: application/json; charset=utf-8 Pragma: no-cache </code></pre> 更新2 在本地，一切正常，包括 httponly cookie。 我相信这个原因是<pre><code>https://api.some-domain.com</code></pre>，<pre><code>https://sub1.some-domain.com</code></pre>，<pre><code>https://sub2.some-domain.com</code></pre>是<pre><code>https://localhost</code></pre>。 更新3 同样的问题是当弹出窗口而不是 iframe 时。 </question> <answer tick="false" vote="-1"> <h3>HttpOnly Cookie</h3> HttpOnly 是网站可以指定的关于 cookie 的标志。换句话说，网络服务器告诉您的浏览器“嘿，这是一个 cookie，您应该将其视为 HttpOnly”。 JavaScript 无法访问 HttpOnly Cookie。只有浏览器知道它，并且它不会将其提供给页面中的 JavaScript 代码。乍一看，这听起来像是一个限制，但事实确实如此。然而，这样做的目的是我们不能信任 JavaScript 代码。攻击者可能会使用 JavaScript 来“窃取”我们存储在 cookie 中的身份验证令牌，然后使用我们的帐户访问网站。对于 HttpOnly cookie，这是不可能的。这使得XSS 攻击（我们刚刚描述的攻击）更难执行。 仅与 HttpOnly cookie 共享任何身份验证数据是公认的最佳实践。使用标准 cookie 进行身份验证是一个已知的漏洞，我们在任何情况下都应该避免。 更多信息 <hr/><h3>设置-Cookie | MDN 开发者文档</h3> <a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Set-Cookie#httponly" rel="nofollow noreferrer"></a>仅 Http | OWASP 基金会 <a href="https://owasp.org/www-community/HttpOnly" rel="nofollow noreferrer"> </a>可能的解决方案 <hr/> <h3>将子域更改为与父域相同</h3> <ol>在子域上放置代理服务器，并将请求转发到正确的服务器。<li> </li>关闭 Cookie 的 HttpOnly。 [不推荐]<li> </li>使用<li>服务人员</li><li> <a href="https://stackoverflow.com/a/74355943/1072378"> </a> </li>1.安装一个服务工作者，其脚本由您的应用程序服务器呈现（例如，在 PHP 中）。在那里，您可以在闭包中输出 cookie，因此其他脚本甚至注入的函数都无法读取它们。尝试从其他用户代理加载相同的 URL 将不会获得 cookie，因此它是安全的。</ol> <blockquote>2.是的，服务工作人员会定期卸载，但每次再次加载时，由于#1，它都会有最新的 cookie。 3.在服务器端代码响应渲染中，每次添加 Set-Cookie 标头时，也会添加具有相同内容的 Set-Cookie-JS 标头。让 Service Worker 拦截此响应，读取 cookie，并更新闭包中的私有对象。 4.在“fetch”事件中，添加一个特殊的请求头，例如Cookie-JS，并传递本来应该在cookie中传递的内容。在将请求发送到服务器之前，将其添加到请求标头中。通过这种方式，您可以将所有“httponly”cookie 发送回服务器，而 Javascript 无法看到它们，即使实际的 cookie 被阻止！ 5.在您的服务器上，处理 Cookie-JS 标头并将其合并到您常用的 Cookie 机制中，然后像往常一样继续运行其余代码。 使用 </blockquote>Chrome 扩展程序<ol start="5"><li> <a href="https://stackoverflow.com/a/39303460/1072378"> </a> </li> </ol>父级和 iframe 不被视为来自同一站点。即使它们共享相同的域，但它们具有不同的子域，并且它们被 cookie 的 SameSite 属性视为不同的“站点”。</answer> <answer tick="false" vote="-2">您的父页面位于 https://sub1.some-domain.com，您的 iframe 位于 https://sub2.some-domain.com<a href="https://sub1.some-domain.com" rel="nofollow noreferrer">。由于 cookie 的 SameSite 属性设置为 None，因此 cookie 不会发送到 iframe，因为父页面和 iframe 被认为是不同的站点。</a> <a href="https://sub2.some-domain.com" rel="nofollow noreferrer">您可以尝试通过设置 </a><code>SameSite=None; Secure</code> 来更改 SameSite 属性，以允许跨站点发送 cookie，但只能通过安全连接发送。然而，这可能会导致 CSRF 漏洞。 <pre>另一种选择是使用 postMessage。您可以使用 </pre><code>window.postMessage</code> 跨窗口或 iframe 安全地发送消息，甚至在不同的域中也是如此。然后接收者窗口可以决定如何处理消息。 <pre>最后，您使用服务器端解决方案。您可以移动逻辑服务器端，而不是在客户端处理 cookie。这样您就无需担心浏览器阻止第三方 cookie。</pre>

javascript cookies cross-domain httponly cookie-httponly

回答 0 投票 0

跨域 cookie 身份验证在 IOS (.net 7) 上失败

我正在使用signalr来实现聊天服务。在聊天中提交表单时，它会命中一个控制器，该控制器对用户进行身份验证并添加一个 cookie，然后我使用该 cookie 通过信号器保持聊天状态......

ios cookies signalr cross-domain .net-7.0

回答 0 投票 0

子 iFrame 的 HTTP 请求中缺少 HTTPOnly Cookies

浏览器 (Chrome) 不会从子 iframe 设置 HttpOnly cookie 我有一个带有子 iframe 的父网页：父级 https://sub1.some-domain.com 孩子在 <div> </div> <h3>浏览器 (Chrome) 不会从子 iframe 设置 HttpOnly cookie</h3> 我有一个带有子 iframe 的父网页： <pre><code>Parent at https://sub1.some-domain.com Child at <iframe src="https://sub2.some-domain.com"> (inside of parent) </code></pre> 我从父级向 API 发出 POST 请求 <pre><code>https://api.some-domain.com</code></pre>。 以下是响应标头： <pre><code>Access-Control-Allow-Credentials: true Access-Control-Allow-Origin: https://sub1.some-domain.com Set-Cookie: payload-name=payload-value; max-age=30; domain=some-domain.com; path=/; secure; samesite=none; httponly </code></pre> 之后， 从 Iframe 我向“https://api.some-domain.com”发出 GET 请求。 期望： 浏览器将 Httponly cookies <pre><code>payload-name=payload-value;</code></pre> 包含到请求中。 结果： 由于未知原因未包含 Httplonly cookie。 顺便说一句，我在 JS Http 请求中包含了“withCredentials”属性，所以这不会是一个问题。 附注 获取请求： <pre><code>fetch("https://api.some-domain.com/...", { "headers": { "accept": "application/json", "accept-language": "en-US,en;q=0.9,uk;q=0.8", "cache-control": "no-cache", "content-type": "application/json", "pragma": "no-cache", "sec-ch-ua": "\"Not/A)Brand\";v=\"99\", \"Google Chrome\";v=\"115\", \"Chromium\";v=\"115\"", "sec-ch-ua-mobile": "?0", "sec-ch-ua-platform": "\"Windows\"", "sec-fetch-dest": "empty", "sec-fetch-mode": "cors", "sec-fetch-site": "same-site" }, "referrer": "https://sub2.some-domain.com/", "referrerPolicy": "strict-origin-when-cross-origin", "body": null, "method": "GET", "mode": "cors", "credentials": "include" }); </code></pre> GET 响应标头： <pre><code>Access-Control-Allow-Credentials: true Access-Control-Allow-Origin: https://sub2.some-domain.com Cache-Control: no-store,no-cache Content-Encoding: gzip Content-Type: application/json; charset=utf-8 Pragma: no-cache </code></pre> P.S.P.S 在本地，一切正常，包括 httponly cookie。 我相信这个原因是<pre><code>https://api.some-domain.com</code></pre>，<pre><code>https://sub1.some-domain.com</code></pre>，<pre><code>https://sub2.some-domain.com</code></pre>是<pre><code>https://localhost</code></pre>。 </question> <answer tick="false" vote="-1"> <h3>HttpOnly Cookie</h3> HttpOnly 是网站可以指定的关于 cookie 的标志。换句话说，网络服务器告诉您的浏览器“嘿，这是一个 cookie，您应该将其视为 HttpOnly”。 JavaScript 无法访问 HttpOnly Cookie。只有浏览器知道它，并且它不会将其提供给页面中的 JavaScript 代码。乍一看，这听起来像是一个限制，但事实确实如此。然而，这样做的目的是我们不能信任 JavaScript 代码。攻击者可能会使用 JavaScript 来“窃取”我们存储在 cookie 中的身份验证令牌，然后使用我们的帐户访问网站。对于 HttpOnly cookie，这是不可能的。这使得XSS 攻击（我们刚刚描述的攻击）更难执行。 仅与 HttpOnly cookie 共享任何身份验证数据是公认的最佳实践。使用标准 cookie 进行身份验证是一个已知的漏洞，我们在任何情况下都应该避免。 更多信息 <hr/><h3>设置-Cookie | MDN 开发者文档</h3> <a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Set-Cookie#httponly" rel="nofollow noreferrer"></a>仅 Http | OWASP 基金会 <a href="https://owasp.org/www-community/HttpOnly" rel="nofollow noreferrer"> </a>可能的解决方案 <hr/> <h3>将子域更改为与父域相同</h3> <ol>在子域上放置代理服务器，并将请求转发到正确的服务器。<li> </li>关闭 Cookie 的 HttpOnly。 [不推荐]<li> </li>使用<li>服务人员</li><li> <a href="https://stackoverflow.com/a/74355943/1072378"> </a> </li>1.安装一个服务工作者，其脚本由您的应用程序服务器呈现（例如，在 PHP 中）。在那里，您可以在闭包中输出 cookie，因此其他脚本甚至注入的函数都无法读取它们。尝试从其他用户代理加载相同的 URL 将不会获得 cookie，因此它是安全的。</ol> <blockquote>2.是的，服务工作人员会定期卸载，但每次再次加载时，由于#1，它都会有最新的 cookie。 3.在服务器端代码响应渲染中，每次添加 Set-Cookie 标头时，也会添加具有相同内容的 Set-Cookie-JS 标头。让 Service Worker 拦截此响应，读取 cookie，并更新闭包中的私有对象。 4.在“fetch”事件中，添加一个特殊的请求头，例如Cookie-JS，并传递本来应该在cookie中传递的内容。在将请求发送到服务器之前，将其添加到请求标头中。通过这种方式，您可以将所有“httponly”cookie 发送回服务器，而 Javascript 无法看到它们，即使实际的 cookie 被阻止！ 5.在您的服务器上，处理 Cookie-JS 标头并将其合并到您常用的 Cookie 机制中，然后像往常一样继续运行其余代码。 使用 </blockquote>Chrome 扩展程序<ol start="5"><li> <a href="https://stackoverflow.com/a/39303460/1072378"> </a> </li> </ol>父级和 iframe 不被视为来自同一站点。即使它们共享相同的域，但它们具有不同的子域，并且它们被 cookie 的 SameSite 属性视为不同的“站点”。</answer> <answer tick="false" vote="-2">您的父页面位于 https://sub1.some-domain.com，您的 iframe 位于 https://sub2.some-domain.com<a href="https://sub1.some-domain.com" rel="nofollow noreferrer">。由于 cookie 的 SameSite 属性设置为 None，因此 cookie 不会发送到 iframe，因为父页面和 iframe 被认为是不同的站点。</a> <a href="https://sub2.some-domain.com" rel="nofollow noreferrer">您可以尝试通过设置 </a><code>SameSite=None; Secure</code> 来更改 SameSite 属性，以允许跨站点发送 cookie，但只能通过安全连接发送。然而，这可能会导致 CSRF 漏洞。 <pre>另一种选择是使用 postMessage。您可以使用 </pre><code>window.postMessage</code> 跨窗口或 iframe 安全地发送消息，甚至在不同的域中也是如此。然后接收者窗口可以决定如何处理消息。 <pre>最后，您使用服务器端解决方案。您可以移动逻辑服务器端，而不是在客户端处理 cookie。这样您就无需担心浏览器阻止第三方 cookie。</pre>

javascript cookies cross-domain

回答 0 投票 0

字体未加载 - CORS 表示标头不包含访问控制但有

问题：我正在使用从一个站点生成的 html，该站点被推送到另一个站点（不同的域）。除了字体（主要用于图标）没有显示外，一切正常。我是

.htaccess cors cross-domain

回答 3 投票 0

GET 请求被禁止，而 POST 请求正常

在我的 web 应用程序中，我需要调用不同的 web 服务（由我开发/管理）以通过 rest API 启动/管理资源。 Web 服务运行在 tomcat6 上。我可以从眉毛看到...

java rest cross-domain html5-canvas tomcat6

回答 2 投票 0

iframe 内的多页 Google Apps Script 网络应用程序路由

相关链接： @TheMaster 关于 Google 网络应用程序和 iframe 的精彩帖子 Google 关于网络应用程序和 iframe 的文档无限嵌套的 iFrame 我有一个部署为网络应用程序的 Google Apps 脚本项目

google-apps-script iframe cross-domain

回答 0 投票 0

尽管正确配置了选项和 CORS，但获取不包括 Cookies

我有一个后端服务器 -- https://b.com -- 和一个客户端服务器 -- https://a.com。我想从 a.com 向 b.com 发出经过身份验证的 ajax 请求。在发出请求之前，用户会去...

ruby-on-rails ajax cors fetch cross-domain

回答 0 投票 0

Cypress e2e：无法使用 cy.origin() 测试多域？

我正在学习 cy.origin 概念，并在下面的互联网片段中发现它运行良好。我收到一个错误，因为无法找到元素：#login_field。我还设置了 true chromeWebSecurity &

cypress cross-domain

回答 1 投票 0

Cypress 跨域 cy.origin 传递对象不起作用

我想从一个网站跨域到另一个网站，cypress 让我可以用 cy.origin() 函数很好地做到这一点。我还想要的是将我所在页面的页面对象模型传递到...

cypress cross-domain automation-testing

回答 2 投票 0

set-cookie not stored ..error msg about Domain

访问控制允许来源：http://localhost:3000 内容长度：299 内容类型：应用程序/json；字符集=utf-8 日期：格林威治标准时间 2023 年 5 月 1 日星期一 11:35:51 etag: W/"12b-8efK5dxnadj10qqm+FsB8wLDLF...

http cookies https cors cross-domain

回答 0 投票 0

SecurityError：CSSStyleSheet.cssRules getter：使用 Selenium Firefox 读取 CSS 样式表时不允许访问跨源样式表错误

我正在使用带有 Java 和 Chrome/Firefox 驱动程序的 Selenium。 FirefoxProfile 配置文件 = new FirefoxProfile(); profile.setPreference("javascript.enabled", true); profile.setPreference("security.fileuri.

java selenium firefox cross-domain selenium-firefoxdriver

回答 2 投票 0

Window.postMessage()如何跨域使用？

我想使用 Window.postMessage() 来绕过父级和 iframe 之间的通信时的跨域安全问题。这是如何工作的？

javascript cross-domain postmessage

回答 1 投票 0

使用 origin 和 x-forwarded 时，开发模式下 SvelteKit 出现“禁止跨站点 POST 表单提交”错误

我有一个运行在 http://localhost:5173 的 SvelteKit 应用程序（在进行本地开发时），它前面有一个运行在 http://localhost:8057 的 Nginx，提供一些静态文件和代理请求......

cross-domain csrf sveltekit

回答 1 投票 0

cross-domain 相关问题

最新问题