设置 cookie 交叉原点

Question

有两个域：domain1.com 和 domain2.com。 domain1.com的服务器：

app.get('/',(req,res,next)=>{
    res.redirect('domain2.com/');
})

和domain2.com的服务器：

app.get('/',(req,res,next)=>{
    res.cookie("name",'luoxia');
    res.end();
})

我发现cookie设置为domain1.com，为什么？

我想将 cookie 设置为 domain2.com。如何做到这一点？

Answer 1

无法为其他域设置 cookie。允许这样做会带来巨大的安全漏洞。 没有跨域 cookie 这样的东西。您可以在 foo.example.com 和 bar.example.com 之间共享 cookie，但不能在 example.com 和 example2.com 之间共享 cookie，这是出于安全原因。

如果您想将数据传递到另一个域，您可以将其编码到 URL 中。或者你也可以这样破解。

将所有 cookie 集中在一个域中，

   1. let's say cookiemaker.com When the user makes a request to example.com you redirect him to cookiemaker.com
   2.cookiemaker.com redirects him back to example.com with the information you need

当然，它并不完全安全，您必须在应用之间创建某种内部协议才能做到这一点。

最后，如果您对每个请求都执行类似的操作，那么用户会非常烦人，但如果只是第一个请求则不会。

见RFC6265:

除非域属性，否则用户代理将拒绝 cookie 指定包含源服务器的 cookie 的范围。 例如，用户代理将接受带有域的 cookie “example.com”或“foo.example.com”的属性来自 foo.example.com，但用户代理不会接受带有 “bar.example.com”或“baz.foo.example.com”的域属性。

注意：出于安全原因，许多用户代理被配置为拒绝 对应于“公共后缀”的域属性。例如， 一些用户代理会拒绝“com”或“co.uk”的域属性。 （有关详细信息，请参阅第 5.3 节。）