iframe和跨站点cookie被阻止

 

源帖  http://community.studyez.com/blogs/silentacorn/archive/2007/08/04/iframe-cookie.aspx

iframe和跨站点cookie被阻止

在我之前的博客iframe和跨站点cookie引起的session失效问题中已经讲到过此问题，其根源也是由于iframe跨站点cookie被阻导致session失效。但是当时因为两个站点都是自有的服务器，因此通过设置了相同的父域名解决了此问题，所以后来也就没有深入研究此问题。

目前在开发新功能时，又一次遇到了此问题，但是如果仍旧通过更改域名的方式来解决的话，设计上可能就会非常麻烦。于是不得已彻底翻了一下资料，初步研究结果如下：

问题根源:

IE6/IE7支持的P3P(Platform for Privacy Preferences Project (P3P) specification)协议默认阻止第三方无隐私安全声明的cookie，Firefox目前还不支持P3P安全特性，firefox中自然也不存在此问题了。Mircosoft对此的具体描述可以参见 Privacy in Internet Explorer 6

解决方法:

很简单，在要嵌入的内容中(iframe指向的站点)输出P3P的主机头声明，步骤如下(Session variables are lost if you use FRAMESET in Internet Explorer 6)：

1.打开IIS管理器 inetmgr
2.选择被嵌入iframe源站点或者目录，右键点击打开属性框
3.切换到HTTP头
4.添加
5.自定义HTTP头名: P3P
6.自定义HTTP头值: CP="CAO PSA OUR"
7.关闭属性框退出，即刻生效

至于上面CAO PSA OUR的具体意思，还是请参考前面的文章:Privacy in Internet Explorer 6