IE中iframe跨域丟失Session問題(續 p3p)

轉自：http://www.neatstudio.com/show-1390-1.shtml

P3P，不算是新名詞，但還是有些人不清楚。事實上我也不清楚。。。在百度上看到有這玩意就備份下來。說真的，我只是知道用，但不知道爲什麼用。額。。很明顯，因爲在ucenter同步的時候，在discuz的ui/api裏有寫過。

看內容吧。。。。

IE6/IE7支持的P3P(Platform for Privacy Preferences Project (P3P) specification)協議默認阻止第三方無隱私安全聲明的cookie，Firefox目前還不支持P3P安全特性，firefox中自然也不存 在此問題了。

在frameset裏面，也就是裏面的frame是來自第三方站點(不同IP或不同域名)，那麼默認情況下IE會自動禁用這些站點的cookie， 也就是在請求某url時在HTTP header裏不發送它們的cookie，包括session的cookie。注意，這些站點在response裏面設置的cookie還是會被髮送到瀏 覽器的。

在用戶瀏覽a.php時 A.com寫入的爲第一方Cookie,其嵌入的iframe指向 b.php.這時B.com寫入的就爲第三方Cookie了，所以它是被IE當在了大門外。 所以,每次當用戶提交的cookie提交時,就掛掉了.因爲傳不到真實的服務器.

解決方案.

PHP的程序,可以直接在B網站中寫入

PHP代碼

<?php
header('P3P: CP="CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR"');
?>

這樣就能接受第三方的Cookie啦。

 

lighttpd的服務器

XML/HTML代碼

server.modules    = ("mod_setenv")
setenv.add-response-header = ( "P3P" => "CP='CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR'")

apache的服務器

XML/HTML代碼

<VirtualHost>
Header set P3P 'CP="CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR"'
</VirtualHost>

IIS的服務器

增加一個網站http頭來解決問題；
管理工具——〉選擇一個網站——〉屬性——〉 http頭，增加一個http頭
然後輸入頭名：P3P
輸入頭內容：CP=CAO PSA OUR

jsp頁面：

XML/HTML代碼

<%
response.setHeader("P3P","CP=CAO PSA OUR");
%>

java代碼最簡單的辦法，增加一個filte:

Java代碼

public class TransNameFilter extends HttpServlet implements Filter {
private static org.apache.commons.logging.Log logWriter =
   LogFactory.getLog(TransNameFilter.class.getName());

/**
*
*/
public TransNameFilter() {
   super();

}
/* （非 Javadoc）
   * @see javax.servlet.Filter#init(javax.servlet.FilterConfig)
   */
public void init(FilterConfig arg0) throws ServletException {

}

/* （非 Javadoc）
* @see javax.servlet.Filter#doFilter(javax.servlet.ServletRequest, javax.servlet.ServletResponse, javax.servlet.FilterChain)
*/
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
   throws IOException, ServletException {

   HttpServletRequest hreq = (HttpServletRequest) request;
   String transName = hreq.getParameter("transName");
   if (Util.isNullOrEmpty(transName)) {
    logWriter.fatal(" there is no transName for this request");
   } else {

    logWriter.info(" transName is " + transName);
   }

   HttpServletResponse res = (HttpServletResponse) response;
        //iframe引起的內部cookie丟失
   res.setHeader("P3P","CP=CAO PSA OUR");
   if (chain != null)
    chain.doFilter(request, response);

}

/* （非 Javadoc）
   * @see javax.servlet.Filter#destroy()
   */
public void destroy() {

}

}