我有两个网站，比如说example.com和anotherexample.net。
在anotherexample.net/page.html上，我有一个IFRAME SRC=“http://example.com/someform.asp”。IFRAME显示一个表单供用户填写并提交到http://example.com/process.asp。当我在它自己的浏览器窗口中打开表单(“someform.asp”)时，一切正常。
然而，当我在ie6或ie7中加载someform.asp作为IFRAME时，example.com的cookie没有保存。在Firefox中，这个问题不会出现。
出于测试目的，我在http://newmoon.wz.cz/test/page.php上创建了一个类似的设置。
example.com使用基于cookie的会话(对此我无能为力)，因此如果没有cookie, process.asp将无法执行。我如何迫使IE保存这些cookie ?
嗅探HTTP流量的结果:在GET /someform.asp响应中，有一个有效的每会话Set-Cookie报头(例如Set-Cookie: ASPKSJIUIUGF=JKHJUHVGFYTTYFY)，但在POST /process.asp请求中，根本没有Cookie报头。
Edit3:一些AJAX+服务器端脚本显然能够避开这个问题，但这看起来非常像一个bug，而且它还打开了一组全新的安全漏洞。我不希望我的应用程序使用漏洞+安全漏洞的组合只是因为它很容易。
编辑:P3P政策是根本原因，详细解释如下。
我知道现在在这个问题上发表我的观点有点晚了，但我浪费了这么多时间，也许这个答案会帮助到别人。
我试图在我的网站上调用第三方cookie，当然它不能在ie10上工作，即使是在低安全级别…别问我为什么。在iframe中，我用ajax调用read_cookie.php (echo $_COOKIE)。
我不知道为什么我不能设置P3P策略来解决这个问题……
在我的搜索过程中，我看到了一些关于在JSON中获得cookie的工作。我甚至没有尝试，因为我认为如果cookie不会通过iframe，它将不会再通过数组…
你猜怎么着，确实如此!所以如果你json_encode你的cookie，然后解码后你的ajax请求，你会得到它!
也许我错过了什么，如果我错过了，我很抱歉，但我从没见过这么蠢的东西。阻止第三方cookie的安全性，为什么不，但让它通过编码?保安现在在哪里?
我希望这篇文章能帮助别人，如果我错过了什么，我很笨，请教育我!
你也可以将p3p.xml和policy.xml文件结合起来:
单击/ home / ubuntu sites -分享- w3c xml p3p。
<META xmlns="http://www.w3.org/2002/01/P3Pv1">
<POLICY-REFERENCES>
<POLICY-REF about="#policy1">
<INCLUDE>/</INCLUDE>
<COOKIE-INCLUDE/>
</POLICY-REF>
</POLICY-REFERENCES>
<POLICIES>
<POLICY discuri="" name="policy1">
<ENTITY>
<DATA-GROUP>
<DATA ref="#business.name"></DATA>
<DATA ref="#business.contact-info.online.email"></DATA>
</DATA-GROUP>
</ENTITY>
<ACCESS>
<nonident/>
</ACCESS>
<!-- if the site has a dispute resolution procedure that it follows, a DISPUTES-GROUP should be included here -->
<STATEMENT>
<PURPOSE>
<current/>
<admin/>
<develop/>
</PURPOSE>
<RECIPIENT>
<ours/>
</RECIPIENT>
<RETENTION>
<indefinitely/>
</RETENTION>
<DATA-GROUP>
<DATA ref="#dynamic.clickstream"/>
<DATA ref="#dynamic.http"/>
</DATA-GROUP>
</STATEMENT>
</POLICY>
</POLICIES>
</META>
我发现添加头的最简单的方法是通过Apache代理和使用mod_headers，就像这样:
<VirtualHost *:80>
ServerName mydomain.com
DocumentRoot /home/ubuntu/sites/shared/w3c/
ProxyRequests off
ProxyPass /w3c/ !
ProxyPass / http://127.0.0.1:8080/
ProxyPassReverse / http://127.0.0.1:8080/
ProxyPreserveHost on
Header add p3p 'P3P:policyref="/w3c/p3p.xml", CP="NID DSP ALL COR"'
</VirtualHost>
因此，除了发送到/w3c/p3p.xml的请求外，我们将所有请求都代理到我们的应用服务器。
您可以使用W3C验证器进行测试
我知道现在在这个问题上发表我的观点有点晚了，但我浪费了这么多时间，也许这个答案会帮助到别人。
我试图在我的网站上调用第三方cookie，当然它不能在ie10上工作，即使是在低安全级别…别问我为什么。在iframe中，我用ajax调用read_cookie.php (echo $_COOKIE)。
我不知道为什么我不能设置P3P策略来解决这个问题……
在我的搜索过程中，我看到了一些关于在JSON中获得cookie的工作。我甚至没有尝试，因为我认为如果cookie不会通过iframe，它将不会再通过数组…
你猜怎么着，确实如此!所以如果你json_encode你的cookie，然后解码后你的ajax请求，你会得到它!
也许我错过了什么，如果我错过了，我很抱歉，但我从没见过这么蠢的东西。阻止第三方cookie的安全性，为什么不，但让它通过编码?保安现在在哪里?
我希望这篇文章能帮助别人，如果我错过了什么，我很笨，请教育我!
