javascript - 带有脚本标签的跨域cookie？

Question

我正在研究 jsonP 以从 cookie 发送数据，从域 A 到域 B。它运行良好，但我的问题不在这里。我只是意识到，如果我只在我的域 B 上放置一个指向我的域 A 的 script 标记，那么我的域 A 的所有 cookie 都会在我的域 B 上设置。

示例:我将此标记放在我的域 B 上:

<script src="http://mydomainA.com/"></script>

仅此而已，我的域 A 的所有 cookie 都设置在我的域 B 上。我的问题是，这正常吗？我认为 cookie 需要一些 hack 才能跨域，但我认为这并不那么容易。

抱歉我的英语不好，如果我的问题很愚蠢或者之前有人问过，我深表歉意。

提前致谢。

Answer 1

Cookie 只是 HTTP 请求中的 header 。当浏览器请求时

GET /foo
Host: a.com

它接收到一个 HTML 文档，其中包含一个 <script>托管在另一个域上的标记。所以它会触发另一个请求:

GET /script.js
Host: b.com
Cookie: foobarbaz

它当然可以为域 b.com 附加 cookie , 如果有的话。这意味着浏览器最后一次联系 b.com ，HTTP 响应包含一个 header ，如

...
Set-Cookie: foobarbaz
...

因此对同一域的后续请求将保持 session 。当浏览器向a.com请求另一个资源时比如

GET /bar.jpeg
Host: a.com

cookie foobarbaz由 b.com 设置不会随请求一起发送，因此 a.com 上的脚本无权访问来自 b.com 的数据.