从外部域加载的 js 脚本可以访问哪些 cookie？

Question

假设一个 web 应用程序（通过 http 服务）有一个标签，其 src 是另一个域。外部脚本正在处理 cookie 和/或 localStorage。它可以访问哪些域 cookie？

<!-- on example.org --> <script src='http://anotherexample.org/script.js'> <!-- This script messes with cookies -->

我的直觉告诉我，它操作的 cookie 是属于 example.org 的。但这是如何工作的呢？

Answer 1

你的直觉是非常正确的。 Cookie 是在浏览器开始实施同源策略限制之前创建的，因此这些策略是 not generally protected。因此，当anotherexample.org 传递的脚本访问document.cookie 时，它将在原始HTTP 响应中看到example.org 传递的那些cookie。

唯一重要的例外是"HttpOnly" cookies。如果example.org 选择，它可以指定它提供的cookie 为“HttpOnly”；任何 JavaScript 代码都无法访问这些 cookie，无论是来自 anotherexample.org 还是来自 example.org 本身。