แชร์คุกกี้ระหว่างโดเมนย่อยและโดเมน

ฉันมีสองคำถาม ฉันเข้าใจว่าหากฉันระบุโดเมนเป็น.mydomain.com(ด้วยจุดนำ) ในคุกกี้ที่โดเมนย่อยทั้งหมดสามารถแชร์คุกกี้ได้

สามารถsubdomain.mydomain.comเข้าถึงคุกกี้ที่สร้างขึ้นในmydomain.com(โดยไม่ต้องwwwโดเมนย่อย)?

สามารถmydomain.com(ไม่ใช้wwwโดเมนย่อย) เข้าถึงคุกกี้ได้subdomain.mydomain.comหรือไม่หากสร้างขึ้น

โดเมน 2 แห่งmydomain.comและsubdomain.mydomain.comสามารถแบ่งปันคุกกี้ได้เฉพาะเมื่อมีการระบุชื่อโดเมนไว้อย่างชัดเจนในSet-Cookieส่วนหัว มิฉะนั้นขอบเขตของคุกกี้จะถูก จำกัด ให้กับโฮสต์ที่ร้องขอ (สิ่งนี้เรียกว่า "คุกกี้สำหรับโฮสต์เท่านั้น" ดูคุกกี้ของโฮสต์เท่านั้นคืออะไร )

ตัวอย่างเช่นหากคุณส่งส่วนหัวต่อไปนี้จากsubdomain.mydomain.comนั้นจะไม่ส่งคุกกี้สำหรับคำขอไปที่mydomain.com:

Set-Cookie: name=value

อย่างไรก็ตามหากคุณใช้สิ่งต่อไปนี้จะสามารถใช้ได้กับทั้งสองโดเมน:

Set-Cookie: name=value; domain=mydomain.com

คุกกี้นี้จะถูกส่งไปสำหรับการใด ๆโดเมนย่อยของ mydomain.com subsub.subdomain.mydomain.comรวมทั้งโดเมนย่อยที่ซ้อนกันเช่น

ในRFC 2109โดเมนที่ไม่มีจุดนำหมายความว่าไม่สามารถใช้กับโดเมนย่อยได้และมีเพียงจุดนำหน้า ( .mydomain.com) เท่านั้นที่อนุญาตให้ใช้ได้ในหลายโดเมนย่อย (แต่ไม่ใช่โดเมนระดับบนสุดดังนั้นสิ่งที่คุณถามคือ เป็นไปไม่ได้ในข้อมูลจำเพาะรุ่นเก่า)

อย่างไรก็ตามเบราว์เซอร์ที่ทันสมัยทั้งหมดเคารพข้อกำหนดใหม่RFC 6265และจะละเว้นจุดนำใด ๆ ซึ่งหมายความว่าคุณสามารถใช้คุกกี้ในโดเมนย่อยเช่นเดียวกับโดเมนระดับบนสุด

โดยสรุปหากคุณตั้งค่าคุกกี้เหมือนตัวอย่างที่สองด้านบนmydomain.comมันจะสามารถเข้าถึงได้โดยsubdomain.mydomain.comและในทางกลับกัน นอกจากนี้ยังสามารถใช้เพื่ออนุญาตsub1.mydomain.comและsub2.mydomain.comแบ่งปันคุกกี้

ดูสิ่งนี้ด้วย:

• www vs no-www และคุกกี้
• สคริปต์ทดสอบคุกกี้เพื่อทดลองใช้

ฉันไม่แน่ใจว่าคำตอบ @cmbuckley กำลังแสดงภาพเต็ม สิ่งที่ฉันอ่านคือ:

เว้นแต่ว่าแอตทริบิวต์ของคุกกี้ระบุไว้เป็นอย่างอื่นคุกกี้จะถูกส่งกลับไปยังเซิร์ฟเวอร์ต้นทางเท่านั้น (และไม่ใช่ตัวอย่างเช่นไปยังโดเมนย่อยใด ๆ ) และหมดอายุเมื่อสิ้นสุดเซสชันปัจจุบัน (ตามที่กำหนดโดยตัวแทนผู้ใช้) ตัวแทนผู้ใช้ไม่สนใจคุกกี้ที่ไม่รู้จัก

RFC 6265

ด้วย

8.6.  Weak Integrity

   Cookies do not provide integrity guarantees for sibling domains (and
   their subdomains).  For example, consider foo.example.com and
   bar.example.com.  The foo.example.com server can set a cookie with a
   Domain attribute of "example.com" (possibly overwriting an existing
   "example.com" cookie set by bar.example.com), and the user agent will
   include that cookie in HTTP requests to bar.example.com.  In the
   worst case, bar.example.com will be unable to distinguish this cookie
   from a cookie it set itself.  The foo.example.com server might be
   able to leverage this ability to mount an attack against
   bar.example.com.

สำหรับฉันนั่นหมายความว่าคุณสามารถป้องกันคุกกี้จากการอ่านโดยโดเมนย่อย / โดเมน แต่ไม่สามารถป้องกันการเขียนคุกกี้ไปยังโดเมนอื่น ๆ ดังนั้นบางคนอาจเขียนคุกกี้เว็บไซต์ของคุณอีกครั้งโดยควบคุมโดเมนย่อยอื่นที่เข้าชมโดยเบราว์เซอร์เดียวกัน ซึ่งอาจไม่ใช่เรื่องใหญ่

เว็บไซต์ทดสอบคุกกี้สุดเจ๋งจัดทำโดย @cmbuckley / สำหรับผู้ที่ไม่ได้รับคำตอบเช่นฉัน เลื่อนขึ้นและ upvoting มูลค่า:

• http://scripts.cmbuckley.co.uk/cookies.php

นี่คือตัวอย่างการใช้ DOM cookie API ( https://developer.mozilla.org/en-US/docs/Web/API/Document/cookie ) เพื่อให้เราเห็นพฤติกรรมของเรา

หากเรารัน JavaScript ต่อไปนี้:

document.cookie = "key = value"

ดูเหมือนว่าจะเหมือนกับการดำเนินการ:

document.cookie = "key = value; domain = mydomain.com"

คุกกี้ที่สำคัญกลายเป็นใช้ได้ (เท่านั้น) บนโดเมนmydomain.com

ตอนนี้ถ้าคุณรัน JavaScript ต่อไปนี้บน mydomain.com:

document.cookie = "key = value; domain = .mydomain.com"

คุกกี้ที่สำคัญกลายเป็นใช้ได้กับmydomain.comเช่นเดียวกับsubdomain.mydomain.com

สุดท้ายถ้าคุณต้องลองและดำเนินการต่อไปนี้ใน subdomain.mydomain.com:

document.cookie = "key = value; domain = .mydomain.com"

คีย์คุกกี้สามารถใช้ได้กับsubdomain.mydomain.comหรือไม่ ฉันรู้สึกประหลาดใจเล็กน้อยที่ได้รับอนุญาต ฉันสันนิษฐานว่าน่าจะเป็นการละเมิดความปลอดภัยสำหรับโดเมนย่อยเพื่อให้สามารถตั้งค่าคุกกี้ในโดเมนหลัก

โปรดทราบว่าคุณสามารถตั้งค่าคุกกี้จากโดเมนย่อยบนโดเมน

(ส่งในการตอบกลับสำหรับการร้องขอsubdomain.mydomain.com)

Set-Cookie: name=value; Domain=mydomain.com // GOOD

แต่คุณไม่สามารถตั้งค่าคุกกี้จากโดเมนบนโดเมนย่อย

(ส่งในการตอบกลับสำหรับการร้องขอmydomain.com)

Set-Cookie: name=value; Domain=subdomain.mydomain.com // Browser rejects cookie

ทำไม

ตามข้อกำหนดRFC 6265 ส่วน 5.3.6 รูปแบบการจัดเก็บ

หาก canonicalized request-host ไม่ตรงกับโดเมน domain-attribute: ละเว้นคุกกี้ทั้งหมดและยกเลิกขั้นตอนเหล่านี้

และRFC 6265 ส่วน 5.1.3 การจับคู่โดเมน

การจับคู่โดเมน

สตริงโดเมนตรงกับสตริงโดเมนที่ระบุหากมีเงื่อนไขอย่างน้อยหนึ่งข้อต่อไปนี้:

1. สตริงโดเมนและสตริงเหมือนกัน (โปรดทราบว่าทั้งโดเมนสตริงและสตริงจะได้รับการแปลงเป็นตัวพิมพ์เล็กถึงจุดนี้)

2. มีเงื่อนไขดังต่อไปนี้ทั้งหมด:

   • สตริงโดเมนคือส่วนต่อท้ายของสตริง

   • อักขระตัวสุดท้ายของสตริงที่ไม่รวมอยู่ในสตริงโดเมนคืออักขระ% x2E (".")

   • สตริงเป็นชื่อโฮสต์ (เช่นไม่ใช่ที่อยู่ IP)

ดังนั้น "subdomain.mydomain.com" ตรงกับโดเมน "mydomain.com" แต่ "mydomain.com" ไม่ตรงกับโดเมน "subdomain.mydomain.com"

ตรวจสอบคำตอบนี้ด้วย

ในทั้งสองกรณีใช่มันสามารถทำได้และนี่เป็นพฤติกรรมเริ่มต้นสำหรับทั้ง IE และ Edge

คำตอบอื่น ๆ เพิ่มความเข้าใจที่มีคุณค่า แต่อธิบายพฤติกรรมส่วนใหญ่ใน Chrome สิ่งสำคัญคือต้องทราบว่าพฤติกรรมนั้นแตกต่างอย่างสิ้นเชิงใน IE สคริปต์ทดสอบที่เป็นประโยชน์อย่างมากของ CMBuckley แสดงให้เห็นว่าใน Chrome จะไม่แบ่งปันคุกกี้ระหว่างรูทและโดเมนย่อยเมื่อไม่มีการระบุโดเมน อย่างไรก็ตามการทดสอบเดียวกันใน IE แสดงให้เห็นว่าพวกเขาจะใช้ร่วมกัน กรณี IE นี้ใกล้เคียงกับคำอธิบายการนำกลับบ้านในลิงก์ www-or-not-www ของ CMBuckley ฉันรู้ว่านี่เป็นกรณีเพราะเรามีระบบที่ใช้คุกกี้ servicestack ที่แตกต่างกันทั้งในรูทและโดเมนย่อย ทุกอย่างทำงานได้ดีจนกระทั่งมีคนเข้าใช้งานใน IE และทั้งสองระบบต่อสู้กันโดยที่คุกกี้เซสชันจะชนะจนกว่าเราจะล้างแคช

ระวังถ้าคุณกำลังทำงานบน localhost! หากคุณเก็บคุกกี้ของคุณใน js เช่นนี้:

document.cookie = "key=value;domain=localhost"

sub.localhostมันอาจจะไม่สามารถเข้าถึงโดเมนย่อยของคุณเช่น เพื่อที่จะแก้ปัญหานี้คุณจำเป็นต้องใช้โฮสต์เสมือน สำหรับตัวอย่างคุณสามารถกำหนดค่าโฮสต์เสมือนของคุณได้ServerName localhost.comจากนั้นคุณจะสามารถจัดเก็บคุกกี้ของคุณในโดเมนและโดเมนย่อยของคุณดังนี้:

document.cookie = "key=value;domain=localhost.com"

ทางออกที่ง่าย

setcookie("NAME", "VALUE", time()+3600, '/', EXAMPLE.COM);

พารามิเตอร์ลำดับที่ 5 ของ Setcookie กำหนดโดเมน (ย่อย) ที่คุกกี้มีให้ การตั้งค่าเป็น (EXAMPLE.COM) ทำให้สามารถใช้ได้กับโดเมนย่อยใด ๆ (เช่น: SUBDOMAIN.EXAMPLE.COM)

การอ้างอิง: http://php.net/manual/th/function.setcookie.php