javascript - 无法在 iframe 中加载的自己的域上访问带有 httponly 标记的 cookie

Question

我正在制作一个 chrome 扩展程序，它在网页上插入一个 iframe 并显示一些东西。

iframe中加载的内容来自https://example.com我对它有完全控制权。我正在尝试访问 https://example.com 的 cookie来自 document.cookie 的 iframe(我认为应该可用)。这不允许我访问带有 httponly 标记的 cookie，我不知道这样做的原因。毕竟这不是跨域。是吗？

这是我用来获取 cookie 的代码

jQuery("#performAction").click(function(e) {
    e.preventDefault();
    console.log(document.domain); // https://example.com
    var cookies = document.cookie;
    console.log('cookies', cookies);
    var httpFlaggedCookie1 = getCookie("login_sess");
    var httpFlaggedCookie2 = getCookie("login_pass");
    console.log('httpFlaggedCookie1 ', httpFlaggedCookie1 ); // shows blank
    console.log('httpFlaggedCookie2 ', httpFlaggedCookie2 ); // shows blank
    if(httpFlaggedCookie2 != "" && httpFlaggedCookie2 != ""){
        doSomething();
    } else{
        somethingElse();
    }
});

对此有什么建议吗？

Answer 1

默认情况下，在 Chrome 中，HttpOnly cookies are prevented to be read and written in JavaScript .

但是，由于您正在编写 chrome 扩展，您可以使用 chrome.cookies.get和 chrome.cookies.set读/写，使用 manifest.json 中声明的 cookies 权限。请注意 chrome.cookies 只能在后台页面访问，因此您可能需要对 Message Passing 做一些事情