json - 第三方 cookie - 从其他域读取

Question

我正在使用 <img src="http://example.com/test.php" /> 创建第三方 cookie

测试.php:

if($_GET['r']) {
    header('Content-type: image/gif');
    // echo transparent 1x1 pixel
    exit;
} else {
    setcookie('name', md5(time()), time()+60*60*24*30, '/');
    $url = 'http://example.com/test.php?r=1';
    header('Location: '.$url);
   exit;
}

此代码创建第三方 cookie。是否有任何方法可以通过来自与 example.com 不同的域的 javascript 读取创建的 cookie？

Answer 1

没有。 JavaScript 只能访问当前文档的 cookie，不能访问其任何依赖项。

如果不是这种情况，那么作者可以从您可能拥有帐户的任何网站加载图像，使用 JavaScript 读取 cookie，将其 Ajax 到他们的服务器，然后为此获得您当前登录 token 的副本地点。这将是一个巨大的安全漏洞。