Chrome 和 Firefox 认为第三方 cookie 的规则是什么？答案

【问题标题】：What are the rules for what Chrome and Firefox considers a third-party cookie?Chrome 和 Firefox 认为第三方 cookie 的规则是什么？
【发布时间】：2019-12-28 10:02:57
【问题描述】：

我在 gala.apples.mydomain.com 和 oranges.mydomain.com 上运行 Web 应用程序。

oranges.mydomain.com 的 cookie 仅存储在其域中，我想使用 iframe 将其嵌入到 gala.apples.mydomain.com。

即使第三方 cookie 在 Chrome 和 Firefox 中被阻止，当在 gala.apples.mydomain.com 内的 iframe 中时，这两种浏览器仍然允许 oranges.mydomain.com 的 cookie 传递。

我认为这会被阻止，并且与 CORS 考虑这两个不同来源的方式类似。

我找不到任何关于 cookie 如何被视为第三方的规则。

【问题讨论】：

标签： google-chrome firefox cookies

【解决方案1】：

这方面的细节可能取决于浏览器，因为阻止第三方 cookie 不是默认行为，也不是任何规范强制要求的，这与对网络安全至关重要的 same-origin policy 不同。

对于 Firefox，我知道的唯一文档在源代码中：mozIThirdPartyUtil.idl。

它确认“基本域”的不同子域不被视为彼此的第三方。原因，我猜是：

此首选项的目的是防止跨不同网络资产跟踪用户，这要求跟踪器驻留在单独的“基础”域中，因此当前对第三方的宽松定义足以满足此要求。
限制性更强会破坏更有效的用途。

【讨论】：