Chrome和Firefox认为什么是第三方cookie的规则是什么？

Question

我有网络应用程序运行在gala.apples.mydomain.com和oranges.mydomain.com上。

oranges.mydomain.com有一个仅存储在其域名下的cookie，并且我想使用iframe将其嵌入到gala.apples.mydomain.com中。

即使Chrome和Firefox阻止第三方Cookie，但两个浏览器仍然允许当在gala.apples.mydomain.com内的iframe中时传递oranges.mydomain.com的cookie。

我认为这会被阻止，并且与CORS类似地考虑这两个不同的来源。

我找不到有关如何判断Cookie是否为第三方的规则。

- ryanm

Answer 1

这个问题的细节可能因浏览器而异，因为阻止第三方Cookie不是默认行为，也没有被任何规范强制要求，不像same-origin policy那样对Web安全至关重要。

对于Firefox，我所知道的唯一文档在源代码中：mozIThirdPartyUtil.idl。

它确认了“基础域”的不同子域彼此不被视为第三方。我猜想原因是：

• 此首选项的目的是防止跨不同Web属性跟踪用户，这需要跟踪器驻留在单独的“基本”域上，因此当前宽松的第三方定义已足够。
• 更严格将会破坏更多有效的用途。

- Nickolay