google-chrome - 为什么 iframe 请求不发送 cookie？-6ren

google-chrome - 为什么 iframe 请求不发送 cookie？

转载作者：行者123 更新时间：2023-12-04 02:26:58

24

4

一个兄弟部门创建了一个 HTML 文件，它实际上是少数 iframe 的脚手架。每个 iframe 调用一个报告，该报告托管在 Web 服务器上，参数略有不同。被调用的报告将向未经身份验证的用户显示登录表单，或向已通过身份验证的用户显示报告内容。

脚手架.html:

<html>
   <head>
      <title>I just show the output from a bunch of report calls</title>
   </head>
   <body>
      <iframe src="https://somesite.com/useful_report.html?parameter1=a&parameter2=1" id="iframe1"></iframe>
      <iframe src="https://somesite.com/useful_report.html?parameter1=b&parameter2=2" id="iframe2"></iframe>
      <iframe src="https://somesite.com/useful_report.html?parameter1=c&parameter2=3" id="iframe3"></iframe>
      <iframe src="https://somesite.com/useful_report.html?parameter1=d&parameter2=4" id="iframe4"></iframe>
   </body>
</html>

同级组织向我们解释说，如果用户登录到 https://somesite.com ，上述设置效果很好——每个 iframe 都会显示有用的报告.html 内容......直到几天前。

当我

登录 https://somesite.com ，然后

将 file:///C:/Users/me/Desktop/scaffold.html 加载到 Chrome

每个 iframe 返回 https://somesite.com在表格上签名。如果我随后在单独的选项卡中打开有用报告.html，报告内容会加载(证明 somesite.com 知道我仍然登录‡)。

使用开发人员工具，我可以看到到有用报告.html 的请求 header 不包含“Cookie:”属性，因此这解释了为什么有用报告.html 返回登录表单。

我的问题是 为什么 iframe 请求不发送 cookie？ 什么 Chrome 和/或服务器设置/策略/指令阻止它？

‡ - 现在它知道我知道它知道。

最佳答案

这是因为 同一网站 Chrome defaults to Lax 的 cookie 政策，这意味着除非用户可以看到不包括 iframe 的 URL，否则不会发送 cookie。
如果您拥有 somesite.com，则可以通过将 SameSite 策略设置为 None 来选择退出此策略，并通过 Double Submit Cookie 处理 CSRF 攻击的风险.

关于google-chrome - 为什么 iframe 请求不发送 cookie？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/53842054/

24

4

0

文章推荐： python-3.x - 是否有服务器 Python 3 websocket 模块？

文章推荐： Django formset_factory vs modelformset_factory vs inlineformset_factory

文章推荐： javascript - 使用 JS 检查页面是否已在服务器上更新

文章推荐： javascript - Selenium 按特定像素值滚动

google-chrome - 在 Chrome 与 Chrome 上制作 Chrome 扩展
非常简单的问题 - 是否可以通过 Chromium 创建 google chrome 扩展，并让在不同操作系统上运行 Chrome 的人使用相同的扩展？我正在Ubuntu上开发。最佳答案是的，完
google-chrome - 是否可以开发不是 chrome 扩展的 Chrome 书签管理器应用程序，即独立于 chrome 浏览器运行的应用程序？
我了解 chrome.bookmarks API(记录在 http://goo.gl/tIb6V6 )旨在用于开发访问/操作我的 Chrome 书签的 Chrome 扩展程序(当然要在 Chrome
google-chrome - Chrome vs Chrome [扩展比较]
在比较开源浏览器 Firefox 和 Chromium 的扩展、附加组件和列表时，我试图找到一些有趣的数据。我感兴趣的是多宿主扩展(两个浏览器列表上都可用的扩展)。但是当浏览 Chromium 扩
google-chrome - Chrome 扩展程序背景页面未显示 Chrome 通知
使用新的 chrome.notifications API，我无法从我的扩展程序中获取通知以显示。即使是最基本的通知也无法为我显示，但我没有收到任何错误，并且回调函数已正确执行。 list .json
google-chrome - Chrome 自动播放政策 - Chrome 76
我正在构建一个在 Chrome 上运行的信息亭媒体，可以播放带音频的视频。我知道默认情况下，chrome 只允许自动播放带有静音 Prop 的视频。而且我知道我可以通过 chrome://flags
google-chrome - Chrome 扩展程序是否可以写入 Chrome 系统目录中的文件？
我从来没有真正写过真实 Chrome 扩展程序。不久前我做了一个只是一个链接下拉列表，但这并不重要。无论如何，与其先回到关于编写 Chrome 扩展程序的大量教程中，不如先确保我的想法是可行的。我
google-chrome - Chrome 浏览器在 chrome 节点 Docker 容器中运行多个 chrome 浏览器时崩溃
主要目的是在单个容器中运行多个 chrome 浏览器(9 个浏览器)。我有一个集线器和节点设置，其中包含多个浏览器的容器，可在单个 chrome 节点容器中运行。我使用以下 docker 命令创建了
google-chrome - chrome.tabs 问题与 chrome.tabs.update 和 chrome.tabs.executeScript
我想写一个小的 chrome 扩展程序，它应该从网页 A(当前网页)获取信息，将选项卡更新到网页 B，然后将代码注入(inject)网页 B。不幸的是，以下代码正在将网页更新到 B 但注入(injec
google-chrome - 如何在 Chrome 应用中打开 Chrome 开发者工具
是否可以打开 Chrome 开发者工具来检查 Chrome 应用？最佳答案所有可调试目标都列在 chrome://inspect/ 下。请参阅“应用程序”标签。关于google-chrome -
google-chrome - 在没有 Chrome 网上应用店付款的情况下接受 Chrome 付款
我正在为 Google Chrome 开发一个应用程序，我想知道如何收费。问题是我住在巴西，在这个链接上它告诉我它不支持 Chrome 网上应用店付款。如果没有 Chrome 网上商店付款，我可以通
google-chrome - Chrome 开发者工具放大镜已从 Chrome 32 中消失
我刚刚更新到 Chrome 32.0.1700.76 m(在 Win7 上)并且开发人员工具已更改。特别令人痛苦的是用于检查页面元素的放大镜图标消失了。也没有提到它的快捷方式列表。任何人都知道这已
google-chrome - chrome.webRequest 不适用于 Chrome 17
我在 chrome-extension API (chrome.webrequest) 中遇到问题。我的 list .json { "name": "tesst", "version": "
google-chrome - chrome 关闭时 Chrome native 消息未关闭
我已经制作了 chrome 主机来在我的扩展程序和我的进程之间传递 native 消息，我的进程在 chrome 启动时启动，但在我关闭 chrome 时不关闭，我应该向主机的 list 添加参数还是
google-chrome - 是否可以自动更新 chrome 网上商店上发布的 chrome 扩展程序？
文档对此非常不清楚。我知道如果您自己托管您的扩展程序，您可以通过增加版本号来自动更新您的扩展程序。但是，我不知道您是否可以在仍发布到 chrome 网上商店的同时进行自托管。我不敢相信 Google
google-chrome - Selenium 打开未登录 Chrome 帐户的 chrome
我最近一直在使用 Selenium WebDriver。我还专门与 chromedriver 合作。每当我打开一个新的 chrome 窗口 (driver.get(url)) 时，Chrome 都会以
google-chrome - 有没有办法通过自定义 chrome 扩展启用或禁用 chrome 的标志？
我指的是chrome://flags 我很想知道是否可以通过自定义 chrome 扩展启用或禁用特定的 chrome 标志？例如-我想启用 Enable Media Source API on e
google-chrome-extension - Chrome 扩展更新 - Chrome 网上应用店系统错误
当我在 chrome 开发者仪表板上向我的扩展程序上传更新时，它无法这样做，它显示， An error occurred: Failed to process your item. Chrome W
google-chrome - Chrome 扩展中的 chrome.identity 用户身份验证
我正在尝试编写一个需要用户身份验证的 chrome 扩展。 Google's tutorial建议我需要先上传到网上商店才能获得 key : Login to the Google APIs Cons
google-chrome - 在 Chrome 网上应用店外安装 Chrome 扩展表单
我已经开发了一个 Chrome 扩展程序并且我已经打包了它。我将我的扩展程序发送给一些人试用，但 Chrome 开始阻止它在商店中找不到的扩展程序。有没有办法安装我的扩展程序而不会被 Chrome
google-chrome - 如何在 chrome 上安装 chrome 扩展？
某些 Chrome 扩展不适用于 Chromium。例如:http://code.google.com/chrome/extensions/samples.html#5d81304a17cf7ac28

首页

博学

6Ren·AI

商城

google-chrome - 为什么 iframe 请求不发送 cookie？