google-chrome - Chrome 和 Firefox 认为第三方 cookie 的规则是什么？

Question

我在 gala.apples.mydomain.com 和 oranges.mydomain.com 上运行了 Web 应用程序。

oranges.mydomain.com 仅在其域中存储了一个 cookie，我想使用 iframe 将其嵌入到 gala.apples.mydomain.com 中。

即使在 Chrome 和 Firefox 中阻止了第三方 cookie，这两种浏览器仍然允许在 gala.apples.mydomain.com 内的 iframe 中传递 oranges.mydomain.com 的 cookie。

我认为这会被阻止，并且工作方式类似于 CORS 考虑这两个独立来源的方式。

我找不到关于如何将 cookie 视为第三方的任何规则。

Answer 1

这方面的细节可能取决于浏览器，因为阻止第三方 cookie 不是默认行为，也不是任何规范强制要求的，这与 same-origin policy 不同。 ，这对于网络安全至关重要。

对于 Firefox，我知道的唯一文档是在源代码中:mozIThirdPartyUtil.idl .

它确认“基本域”的不同子域彼此不被视为第三方。我想，原因是:

• 此首选项的重点是防止跨不同网络 Assets 跟踪用户，这需要跟踪器驻留在单独的“基础”域中，因此目前对第三方的宽松定义足以满足此要求。
• 限制性更强会破坏更有效的使用。