[http] 하위 도메인과 도메인간에 쿠키 공유

@cmbuckley 답변이 전체 그림을 표시하는지 잘 모르겠습니다. 내가 읽는 것은 :

쿠키의 속성이 달리 나타내지 않는 한 쿠키는 원본 서버로만 반환되고 (예 : 하위 도메인으로) 반환되지 않으며 현재 세션이 끝날 때 (사용자 에이전트가 정의한대로) 만료됩니다. 사용자 에이전트는 인식 할 수없는 쿠키를 무시합니다.

RFC 6265

또한

8.6.  Weak Integrity

   Cookies do not provide integrity guarantees for sibling domains (and
   their subdomains).  For example, consider foo.example.com and
   bar.example.com.  The foo.example.com server can set a cookie with a
   Domain attribute of "example.com" (possibly overwriting an existing
   "example.com" cookie set by bar.example.com), and the user agent will
   include that cookie in HTTP requests to bar.example.com.  In the
   worst case, bar.example.com will be unable to distinguish this cookie
   from a cookie it set itself.  The foo.example.com server might be
   able to leverage this ability to mount an attack against
   bar.example.com.

즉, 하위 도메인 / 도메인이 쿠키를 읽지 못하도록 보호 할 수 있지만 다른 도메인에 쿠키를 작성하는 것을 막을 수는 없습니다. 따라서 누군가 동일한 브라우저가 방문하는 다른 하위 도메인을 제어하여 사이트 쿠키를 다시 작성할 수 있습니다. 큰 관심사가 아닐 수도 있습니다.

@cmbuckley에서 제공 한 멋진 쿠키 테스트 사이트 / 나 같은 답변에서 놓친 사람들을 위해; 스크롤 업 및 업 보트 가치 :

• http://scripts.cmbuckley.co.uk/cookies.php

답변

Set-Cookie: name=value; Domain=mydomain.com // GOOD

Set-Cookie: name=value; Domain=subdomain.mydomain.com // Browser rejects cookie

document.cookie = "key=value;domain=localhost"

document.cookie = "key=value;domain=localhost.com"

setcookie("NAME", "VALUE", time()+3600, '/', EXAMPLE.COM);