系统间使用iframe引用时，session丢失的问题

偶然发现IE在对iframe里面的页面写Cookie的时候有一些安全限制，导致读取Cookie不成功，找了好长时间的解决办法，重要找到如下的办法：

 

2.当利用IFRAME时,记得要在相应的动态页的页头添加一下P3P的信息,否则IE会自觉的把IFRAME框里的COOKIE给阻止掉,产生问题.本身不保存自然就取不到了.这个其实是FRAMESET和COOKIE的问题,用FRAME或者IFRAME都会遇到.

3.测试时输出TRACE,会减少很多测试的工作量.

只需要设置 P3P HTTP Header，在隐含 iframe 里面跨域设置 cookie 就可以成功。他们所用的内容是：

P3P: CP='CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR'

ASP直接在头部加了头部申明，测试有效。
<%Response.AddHeader "P3P", "CP=CAO PSA OUR"%>

php的话，应该是如下写法：
header('P3P: CP=CAO PSA OUR');

ASP.NET的话
通过在代码上加Response.AddHeader("P3P", "CP=CAO PSA OUR")或者在Window服务中将ASP.NET State Service 启动。
jsp session加入页面中，在页头加入：
response.addHeader(“P3P”, “CP=CAO PSA OUR”);
或者在filter中：
response.setHeader(“P3P”,”CP=CAO PSA OUR”);

问题：我的系统A要引用系统B的功能，两个系统的域是不一样的。这时，嵌入页面不能使用cookie，所以使用cookie保存的session也不能用了。导致B系统在做session操作时，返回的信息都是空的。

 

在网上查到如下解决方法：

 

如果你使用了多个不同服务器集成，很有可能出现这种问题，比如：apache和weblogic 集成，一个是html服务器，一个是 jsp服务器，根据不同的访问路径转到不同的服务器，这其中我们难免会遇到混合状态，所以，iframe使用在所难免。

问题描述:
在一个应用(domain: A)的某个page中, 通过IFrame的方式嵌入另一个应用(domain: B)的某个页面. 当两个应用的domain不一样时, 在被嵌入的页面中不允许使用cookie(即使用cookie实现的session会失效).

问题根源:

IE6/IE7支持的P3P(Platform for Privacy Preferences Project (P3P) specification)协议默认阻止第三方无隐私安全声明的cookie，Firefox目前还不支持P3P安全特性，firefox中自然也不存在此问题了。Mircosoft对此的具体描述可以参见 Privacy in Internet Explorer 6

解决方法:

很简单，在要嵌入的内容中(iframe指向的站点)输出P3P的主机头声明，步骤如下(Session variables are lost if you use FRAMESET in Internet Explorer 6)：

1.打开IIS管理器 inetmgr
2.选择被嵌入iframe源站点或者目录，右键点击打开属性框
3.切换到HTTP头
4.添加
5.自定义HTTP头名: P3P
6.自定义HTTP头值: CP=”CAO PSA OUR”
7.关闭属性框退出，即刻生效
至于上面CAO PSA OUR的具体意思，还是请参考前面的文章:Privacy in Internet Explorer 6