security - 无法在 Firefox 24 上将文档域设置为 amazonaws

Question

将 document.domain 设置为 superdomain 以允许跨子域调用是一种非常常见的做法。它曾经工作到 firefox 23，但我在升级到 firefox 24 后遇到了这个问题。

当我的网址是 def.abc.mycompany.com 时

document.domain = "mycompany.com"  - WORKS
document.domain = "abc.mycompany.com"  - WORKS 

def.abc.mycompany.com 基本上是 ec2-123-345-2678-91.compute-1.amazonaws.com 的别名，但是当我在同一台服务器上执行此操作时

document.domain = "amazonaws.com"   - ERROR
document.domain = "compute-1.amazonaws.com " - ERROR

它抛出 - NS_ERROR_DOM_BAD_DOCUMENT_DOMAIN:非法 document.domain 值

还有其他人在 FF-24 上遇到同样的问题吗？他们是否禁止将文档域设置为任何云提供商的域？我在 Chrome 和 Safari 上看不到这个。

Answer 1

amazonws.com 不是 def.abc.mycompany.com 的 super 域。服务器别名(CNAME 等)在 Web 同源安全方面无关紧要。

如果您从 ec2-123-345-2678-91.compute-1.amazonaws.com 加载，您可能会将域设置为 amazonws.com，但这也是一个糟糕的主意，因为在 amazonws.com 上托管的任何人都会与您同源并可能窃取数据。