Cookie работает с субдоменом? [Дубликат]

Простое решение

setcookie("NAME", "VALUE", time()+3600, '/', EXAMPLE.COM);

5-й параметр Setcookie определяет (под) домены, доступные для файла cookie. Установка его в (EXAMPLE.COM) делает его доступным для любого поддомена (например: SUBDOMAIN.EXAMPLE.COM)

Ссылка: http://php.net/manual/en/function.setcookie .php

В обоих случаях да, это может быть, и это поведение по умолчанию для IE и Edge.

Другие ответы добавляют ценную информацию, но в основном описывают поведение в Chrome. важно отметить, что поведение в IE совершенно иное. Очень полезный тестовый скрипт CMBuckley демонстрирует, что в (скажем) Chrome куки не распределяются между корневыми и субдоменами, когда ни один домен не указан. Однако тот же тест в IE показывает, что они являются общими. Этот пример IE ближе к описанию перехвата в ссылке www-or-not-www в CMBuckley. Я знаю, что это так, потому что у нас есть система, которая использовала различные cookie-файлы cookie как для корня, так и для субдомена. Все работало нормально, пока кто-то не обратился к нему в IE, и две системы сражались над тем, чей сеанс cookie выиграл, пока мы не взорвали кеш.

Вот пример использования API cookie DOM ( https://developer.mozilla.org/en-US/docs/Web/API/Document/cookie ), поэтому мы можем видеть

Если мы выполним следующий JavaScript:

document.cookie = "key = value"

Появляется чтобы быть таким же, как выполнение:

document.cookie = "key = value; domain = mydomain.com"

Кнопка cookie становится доступным (только) в домене mydomain.com .

---

Теперь, если вы выполните следующий JavaScript на mydomain.com:

< blockquote>

document.cookie = "key = value; domain = .mydomain.com"

Кнопка cookie становится доступной для mydomain. com , а также subdomain.mydomain.com .

---

Наконец, если вы попытаетесь выполнить следующее на subdomain.mydomain.com:

document.cookie = "key = value; domain = .mydomain.com"

Доступна ли кнопка cookie для subdomain.mydomain.com ? Я был немного удивлен, что это разрешено; Я предположил, что было бы нарушением безопасности для субдомена, чтобы он мог установить cookie в родительском домене.

Я не уверен, что ответ @cmbuckley показывает полную картину. Я читал:

Если атрибуты файла cookie не указывают иначе, cookie возвращается только на исходный сервер (а не, например, на любые поддомены), и он истекает в конце текущий сеанс (определенный пользовательским агентом). Пользовательские агенты игнорируют непризнанный файл cookie.

RFC 6265

Также

8.6.  Weak Integrity

   Cookies do not provide integrity guarantees for sibling domains (and
   their subdomains).  For example, consider foo.example.com and
   bar.example.com.  The foo.example.com server can set a cookie with a
   Domain attribute of "example.com" (possibly overwriting an existing
   "example.com" cookie set by bar.example.com), and the user agent will
   include that cookie in HTTP requests to bar.example.com.  In the
   worst case, bar.example.com will be unable to distinguish this cookie
   from a cookie it set itself.  The foo.example.com server might be
   able to leverage this ability to mount an attack against
   bar.example.com.

Для меня это означает, что вы можете защищать файлы cookie от чтения субдоменом / доменом, но не может препятствовать написанию файлов cookie в других доменах. Таким образом, кто-то может переписать cookie вашего сайта, контролируя другой поддомен, посещенный тем же браузером. Который не может быть большой проблемой.

Удивительный тестовый сайт cookie, предоставленный @cmbuckley / для тех, кто пропустил его в своем ответе, как я; стоит прокрутка вверх и вверх /:

• http://scripts.cmbuckley.co.uk/cookies.php