iframe和跨站点cookie被阻止

iframe和跨站点cookie被阻止

在我之前的博客iframe和跨站点cookie引起的session失效问题中已经讲到过此问题,其根源也是由于iframe跨站点cookie被阻导致session失效。但是当时因为两个站点都是自有的服务器,因此通过设置了相同的父域名解决了此问题,所以后来也就没有深入研究此问题。

目前在开发新功能时,又一次遇到了此问题,但是如果仍旧通过更改域名的方式来解决的话,设计上可能就会非常麻烦。于是不得已彻底翻了一下资料,初步研究结果如下:

问题根源:

IE6/IE7支持的P3P(Platform for Privacy Preferences Project (P3P) specification)协议默认阻止第三方无隐私安全声明的cookie,Firefox目前还不支持P3P安全特性,firefox中自然也不存在此问题了。Mircosoft对此的具体描述可以参见 Privacy in Internet Explorer 6

解决方法:

很简单,在要嵌入的内容中(iframe指向的站点)输出P3P的主机头声明,步骤如下(Session variables are lost if you use FRAMESET in Internet Explorer 6):

1.打开IIS管理器 inetmgr
2.选择被嵌入iframe源站点或者目录,右键点击打开属性框
3.切换到HTTP头
4.添加
5.自定义HTTP头名: P3P
6.自定义HTTP头值: CP="CAO PSA OUR"
7.关闭属性框退出,即刻生效

至于上面CAO PSA OUR的具体意思,还是请参考前面的文章:Privacy in Internet Explorer 6

 
阅读更多
个人分类: WEB开发
上一篇windows2003 和sql2000的疑难杂症
下一篇FCKeditor 在 vs2005 环境下安装功略
想对作者说点什么? 我来说一句

没有更多推荐了,返回首页

关闭
关闭