Share Cookies between two domains

dalaohu

I want a cookie to be set by
     domainA.com
read by
     domainB.com

and vice verse.

Discuss.

righttang

这个我玩过，叫cross domain 啥啥啥的。。。

不过我们最后没有用这个东西，有不稳定性，和不同浏览器的各种安全问题。
所以用一个父domain，下面挂2个A和B，分别干自己的事情来解决了

[ 本帖最后由 righttang 于 2011-6-16 11:40 编辑 ]

porcorosso

domain + subdomain 的就刚玩过。

cross domain 可以的么？

dalaohu

yes sub domain will be easier.

乱码

如果没有什么其他heck tricks的帮助，或者server那边设定cross domain policy,基本上不可能作到。

browsers follow Same origin policy,好像有3条， scheme/domain name/port,必须全部一样，browser才能把cookie从request带过去，否则不行.

greasemoney是个不错的工具，你可以尝试一下，用不好也很危险。

典

突然想到控件，大家都不喜欢控件么？虽然有很多局限，如果是企业内部网还是可以考虑的。
我们在用一个网页控件，我偷偷地放了两个后门在里边，如果检测到客户机器有某些exe文件，就运行之，呵呵

用C# 写个控件obj，带几个public的函数write_data, read_data之类的
网页获得xml/json之类的数据后，用javascript调用控件的public 函数，
因为控件能获取客户端本地资源，想做什么都可以

[ 本帖最后由 典 于 2011-6-16 12:34 编辑 ]

梦呓人

关注+学习 :)

bulaohu

原帖由 乱码 于 2011-6-16 11:58 发表
如果没有什么其他heck tricks的帮助，或者server那边设定cross domain policy,基本上不可能作到。

browsers follow Same origin policy,好像有3条， scheme/domain name/port,必须全部一样，browser才能把cookie从request ...

SOP is for Javascript (and other scripts)

With cookie you can specify a scope, which can be something like google.com, so it'll be readable by both www.google.com & reader.google.com

Apart from this I don't think there is any other way. Trying to break these security measures is and never will be a good idea.

乱码

原帖由 bulaohu 于 2011-6-16 13:04 发表


SOP is for Javascript (and other scripts)

With cookie you can specify a scope, which can be something like google.com, so it'll be readable by both www.google.com & reader.google.com

Apart from th ...

嗯，www.google.com 和 reader.google.com被认为隶属同一个domain.

[ 本帖最后由 乱码 于 2011-6-16 13:48 编辑 ]

dalaohu

原帖由 bulaohu 于 2011-6-16 13:04 发表


SOP is for Javascript (and other scripts)

With cookie you can specify a scope, which can be something like google.com, so it'll be readable by both www.google.com & reader.google.com

Apart from th ...

yea that's sub domain though, sub domain is easier, you can just specify the cookie's domain.

righttang

原帖由 dalaohu 于 2011-6-16 11:41 发表
yes sub domain will be easier.

当初我玩的好像是一个domain下的javascript 去call另外一个domain下的javascript

反正做得挺恶心的，是在B上做一个interval，侦听，然后通过另外一个手段，从A那里传值过去。。。

bulaohu

i know, and I also said I'm fundamentally against the idea of exchanging cookie data <--> non-sub domains. It's simply a road to hell. But I'm a security guy, my mindset is restrictive, which is the opposite to most programmers.

dalaohu

原帖由 righttang 于 2011-6-16 16:58 发表


当初我玩的好像是一个domain下的javascript 去call另外一个domain下的javascript

反正做得挺恶心的，是在B上做一个interval，侦听，然后通过另外一个手段，从A那里传值过去。。。

如果两者是完全不同的domain的话，差不错就要做一些恶心的事了。

这次我看看能不能把它做成sub domain。否则太恶心了不行啊。。。

乱码

原帖由 bulaohu 于 2011-6-16 17:03 发表
i know, and I also said I'm fundamentally against the idea of exchanging cookie data  non-sub domains. It's simply a road to hell. But I'm a security guy, my mindset is restrictive, which is the oppos ...

agreed, if we allow this, it's fundamental security breach.

明月星光

两个服务器上都要有脚本去读写用户cookie

并且脚本之间有自己的安全通道传值，而非依靠客户端传递数据。

mingyali

楼下正解！看错了，以为是sub domain

[ 本帖最后由 mingyali 于 2011-6-17 14:44 编辑 ]

jerryinau

在服务器端做个proxy，a.com 是你的domain，b.com是第三方domain， 客户端想访问 b.com，你可以先让客户端发送request到你的domain，然后你创建webrequest 去访问b.com，cookie 存在服务器上， 然后把结果返回给客户端

虚度

Use Identity federation , check oracle identity federation and its concept, it may help you

ahwen

Forms authentication就可以跨domain，无非也是cookie读写。其他的cookie也许可以参考。