关于Cookie跨域的问题

昵称10504424 2015-03-20

展开全文

Cookie是一个伟大的发明，它允许Web开发者保留他们的用户的登录状态。但是当你的站点有一个以上的域名时就会出现问题了。在Cookie规范上说，一个cookie只能用于一个域名，不能够发给其它的域名。因此，如果在浏览器中对一个域名设置了一个cookie，这个cookie对于其它的域名将无效。如果你想让你的用户从你的站点中的其中一个进行登录，同时也可以在其它域名上进行登录，这可真是一个大难题。

跨二级域名

　　我们知道cookie是可以跨二级域名来访问，这个很好理解，例如你 www. 在的web应用程序创建了一个cookie，要想在bbs.这样的二级域名对应的应用程序中访问，就必须你在创建cookie的时候设置domain参数domain=。以asp.net为例代码如下：

HttpCookie cookie = new HttpCookie("name", "www.Admin10000.com");
cookie.Domain = "";
cookie.Path = "/";
Response.Cookies.Add(cookie);

跨顶级域名

　　如果我不是二级域名而是完全在不同顶级域名中，例如 www. 所在的web应用程序创建了一个cookie，想要在 www. 或其二级域名的应用程序中访问，改怎么办呢？我们知道靠常规反的方法是访问不了的，关键我们就是看看有没有方法可以访问。事实是Cookie可以在一定条件下跨域，而不是随心所欲的实现跨域。

　　我们来做个测试，看看两个站点 www. 和 www. 如何实现cookie跨域访问。按照常规我们需要有2个顶级域名，并且有DNS服务器才能够配置域名，否则我们是无法验证的，但是这里我们也没有必要那么麻烦，我们可以通过修改hosts文件来模拟。在 c:\windows\system32\drivers\etc 中有 hosts文件，在末尾添加上

127.0.0.1    www.
127.0.0.1    www.

两行，就可以将本机用上面的域名访问本机回环地址了。我们只需要在IIS上部署一套程序，ip为本机回环地址，用两个域名分别访问就可以了。

　　我们新建三个页面，分别是 Default.aspx、SSO.ashx、GetCookie.aspx。

　　其中Default.aspx是 www. 的页面，访问的地址是 http://www./Default.aspx。看一下前台代码，它没有任何后台代码

<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="Default.aspx.cs" Inherits="Admin10000.Web.Default" %>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www./TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www./1999/xhtml">
<head runat="server">
<title></title>
</head>
<body>
<form id="form1" runat="server">
<div>
<script type="text/javascript">
var _frm = document.createElement("iframe");
_frm.style.display = "none";
_frm.src = "http://www./SSO.ashx";
document.body.appendChild(_frm); 
</script>
</div>
</form>
</body>
</html>

　　另外一个是 SSO.ashx 页面，我们认为它是 www. 的页面，前台没有任何代码，后台代码如下：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Services;
using System.Web.SessionState;
namespace Admin10000.Web
{
/// <summary>
/// $codebehindclassname$ 的摘要说明
/// </summary>
[WebService(Namespace = "http:///")]
[WebServiceBinding(ConformsTo = WsiProfiles.BasicProfile1_1)]
public class SSO : IHttpHandler
{
public void ProcessRequest(HttpContext context)
{
HttpCookie cookie = new HttpCookie("name", "www.Admin10000.com");
cookie.Domain = "";
cookie.Path = "/";
cookie.Expires = DateTime.Now.AddMinutes(10000);
context.Response.Cookies.Add(cookie);