Может ли код (сторонний) iframe устанавливать собственные куки? - PullRequest
0 голосов
/ 26 октября 2018

Возможна ли загрузка какого-либо кода в iframe, установленные первыми файлами cookie?

например. У меня есть сайт: www.my-website.com, и мне нужно загрузить какой-либо контент от стороннего поставщика www.third-party-site.com для законных целей. Но (по очевидным причинам безопасности) я не хочу, чтобы они могли устанавливать (или читать) какие-либо файлы cookie первой стороны (например, файлы cookie с доменом www.my-website.com - они могут устанавливать любые файлы cookie своих собственный домен www.third-party-site.com).

Возможно ли указанное выше при определенных условиях или вообще невозможно:

  • iframe не находится в песочнице?
  • если загружается код iframe, скажем, изображение с файлами cookie заголовка
  • Есть ли другие условия?
  • Некоторые браузеры разрешают, а другие нет?

Насколько я понимаю, это вообще невозможно, и большинство ответов по SO и т. Д., Кажется, подтверждают это - но некоторые указывают на примеры, где Facebook имеет обходной путь в определенных условиях и т. Д. *

1 Ответ

0 голосов
/ 26 октября 2018

По конструкции нет.Это не означает, что обходные пути не были найдены, или что ошибки позволяли это делать в прошлом, но это очень много ошибок, а не то, что вы должны ожидать или пытаться использовать - утечка стороннего cookie третьему лицу будет квалифицироваться каксерьезная проблема безопасности.

Чтобы снизить риск заражения, убедитесь, что установлены соответствующие флаги cookie: Secure, чтобы предотвратить отправку файлов cookie по незащищенным ссылкам;httponly, чтобы предотвратить доступ к ним через JavaScript, и, если возможно, samesite, чтобы избежать атак CSRF.Вы также должны установить заголовки HTTP, чтобы контролировать создание вашего собственного сайта, чтобы избежать перехвата кликов, и другие заголовки, такие как CSP, чтобы обеспечить более жесткий контроль над источниками.

Существует один очень простой способ избежать всех негативных последствий третьегопеченье: нет.Без них можно сделать очень много вещей, это означает, что вам может не потребоваться отображать уведомления о файлах cookie или запрашивать согласие.

Поскольку вы задаете абстрактный вопрос по этому поводу, вы можете получить лучший ответ на вопрос Обмен стека безопасности .

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...