小白请教， cookie 的 domain 不允许设置跨站的域名，那为什么能在 chrome 的 application tab 中看到第三方 cookie？
tousfun 2021-10-01 23:51:57 +08:00 2072 次点击这是一个创建于 1554 天前的主题，其中的信息可能已经有所发展或是发生改变。
<>图一是我在
taobao.com 下发现的一些第三方 cookie 。图二是访问taobao.com时发送的一个跨域请求，响应头中set-cookie 的 domain=.mmstat.com。所以为什么这个 cookie 能成功设置呢？ 5 条回复 2021-10-02 05:54:05 +08:00
 | 1 coolan 2021-10-02 01:27:35 +08:00 有点兴趣，稍微查了查，其实你都知道第三方 cookie 这个词了，那就很多资料了。这个 cookie 是用 Javascript 前端直接请求 mm.stat.com 的这个第三方地址，通过响应来 set 的，并没有跨域。因为它并没有请求 taobao.com 来响应 set 一个 mm.stat.com 的 cookie 。 另外 https://zhuanlan.zhihu.com/p/131256002 可能有帮助。多查查，很多资料。 |
 | 2 tousfun OP @coolan 也就是说 cookie 的 domain 不允许设置跨站的域名， 这个 domain 的域名是相对于这个 http 请求的域名来说的，而不是相对于我当前浏览的页面网址来说的。 所以说，mmstat.com 请求后端返回的 cookie domain 是 mmstat 这并没有跨站 |
 | 3 eason1874 2021-10-02 02:58:04 +08:00 我这里不能复现，Chrome 拦截了 mmstat 的请求，提示：Cross-Origin Read Blocking (CORB) 已屏蔽 MIME 类型为 application/json 的跨域响应 我怀疑是你在 Chrome 设置了允许第三方，也可能是扩展行为，你用无扩展的无痕窗口测试下。 |
| 4 coolan 2021-10-02 03:03:24 +08:00 via Android cookie 有两种设置方式，由服务器设置时，服务器网页的 URL 跟响应的 cookie 里的 domain 不能跨域；通过前端页面 js 设置时，前端页面 URL 跟 cookie 的 domain 也不可以跨域。 |
 | 5 muzuiget 2021-10-02 05:54:05 +08:00 那个并不是“跨域请求”，而是用 script/style/img 标签这种方式引用第三方资源。 比如 A 和 B 两个网站都用 script 标签引用的百度的广告 js 文件，百度就能通过第三方 cookie 知道你访问了 A 后又访问了 B，然后就可以跟踪你了。 |
Select Language
