在域和子域级别存储 cookie，谁可以访问什么？

Question

我有一个可以让客户登录的网站：

www.example.com/login

并且会在这里完成他们的认证任务

www.example.com/dashboard/

客户也将在这里拥有自己面向公众的内容：

customer1.example.com

面向公众的内容是他们无法编写自己的内容的地方，因此我担心他们是否编写了一些 javascript 等以某种方式获取 cookie 信息，即他们编写 javascript，并且当其他用户访问他们的网站时在 www.example.com 上进行身份验证后，javascript 将获取他们的会话 cookie 并将其发送到另一个网站。

当 cookie 存储在根域和子域中时，它们是否可以在每个级别免费访问？

试图了解安全隐患。

Answer 1

您在Domain 属性中指定的主机 的所有子域都可以访问Cookie。

如果您设置Domain=example.com，cookie 将可用于example.com 的所有子域。

只有www.example.com 和www.example.com 的子域（例如foo.bar.www.example.com）才能访问带有Domain=www.example.com 的cookie - 如果您这样做，不用担心。
但是请注意，这也意味着无法从 example.com 访问它。

最严格的选项是省略Domain 属性，根本不发送它。在这种情况下，cookie 应该只能被发送它的主机名访问。也就是说，如果您从www.example.com 发送它，它只会被发送回www.example.com，甚至不会发送到它的子域。

这在RFC 6265, section 4.1.2.3中都有解释。