cookies - 是否可以代表用户在我的网站上禁用第三方 cookie？

Question

我有一个从另一个网站加载资源的网站。我已经能够确定:

第三方网站在用户的浏览器上放置 cookie。

如果我在浏览器设置中禁用第三方 cookie，第三方网站将无法再在浏览器上放置 cookie。

该资源仍然可以正常工作。

我想知道我是否可以从我的网站提供某种标题或其他指令，这对我的用户产生的效果就像他们禁用了第三方 cookie 一样，但不需要他们去猴子与他们的设置。

Answer 1

一般来说，阻止您的浏览器在您的 HTTP 请求中包含 cookie 是不可能的。然而，最近，很少有新的获取资源的方法被添加到浏览器中。

使用 Fetch API : fetch忽略 Set-Cookie在回复中，不包括 Cookie除非另有说明。

使用 ES6 (ES2015) 模块: <script type="module" ...>没有它的crossorigin属性不会发送 Cookie .它不适用于非模块脚本，并且服务器(不是您的，服务文件的服务器)必须配置为使用有效的 CORS header 提供文件。使用 import * from blah.com/script.js 导入的脚本也会以同样的方式表现。关注 link了解更多信息。

设置crossorigin="anonymous" : 资源元素，例如 script , img和 style与 crossorigin="anonymous"不包括 Cookie后续请求中的 header 。

但是这些都可以使用 Cross-Origin Resource Sharing (CORS) ，并且如果资源服务器配置为不允许没有凭据(cookie 和其他 header )的请求，它们将无法工作。您可能会收到 404 或其他错误。

如果您担心第三方 cookie，通常最好从您自己的服务器或像大多数 CDN 一样的无 cookie 服务器提供静态数据。

Firefox 和 Safari 等浏览器默认禁用第三方 cookie，而 Chrome 是截至 2020 年 1 月仍默认允许第三方 cookie 的最后一个现代浏览器。但即使是 Chrome正在逐步淘汰第三方 cookie。