CSRF 疑问 - 正常页面的 cookie 怎么会被其它域下的请求被携带到服务端的?

来源：16-11 如何预防 xsrf 攻击

qq_小江南_04298178

2020-04-09

我的疑问 - 访问邮件时网站发出的请求是怎么能携带正常用户的 cookie 到购买网站的呢? 不是只能拿到同域下的 cookie 吗?
假如正常网站称为 A,危险网站称为 B
A B 大概率不同同域的！cookie 不是只能获取同域的吗?

A 的登录后相应的 cookie 在 www.a.com 域中
B 页面偷偷发出了 A 的接口请求，那请求也是从 www.b.com 这个域中发出的，怎么携带了 www.a.com 域中 cookie 的呢?
还是说我对携带同域 cookie 的理解有问题

写回答

2回答

慕丝1117639

2022-03-09

是这样的，你请求的是哪一个网站的，那么浏览器就会帮你将需要请求的那个网站对应的cookie添加到请求头，而不是说你在哪一个网站下发起的请求，就发送的是当前网站的cookie。因为服务器验证的肯定是他自己生成的cookie，所以验证其他网站的cookie肯定不需要呀。

双越

2020-04-09

第一，假如你已经访问过百度，并且登录了。这次浏览器就记录了你在百度的 cookie

第二，在你自己的网站 xxx.com 上，你使用了百度的图片

第三，你访问自己的网站 xxx.com ，浏览器加载百度图片时，也会发送百度的 cookie 。

PS：现在浏览器越来越严格的安全机制，慢慢的会拒绝这种行为。

weibo_慕斯卡7563518

“浏览器加载百度图片时，也会发送百度的 cookie” 不是当前访问页面xxx.com的cookie吗，为啥是百度的？

2021-09-29

共1条回复

一天时间高效准备前端技术一面匹配大厂面试要求

针对时下面试高频考点，帮助新人js面试快速通关

4694 学习 · 1681 问题

相似问题

回答 2

回答 1

回答 1

回答 1

回答 1