首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

使用iframe的跨域本地存储-“阻止第三方cookie”

使用iframe的跨域本地存储是一种技术手段,用于在浏览器中阻止第三方cookie的跨域访问。在云计算领域中,这种技术可以用于增强用户隐私保护和安全性。

概念: 使用iframe的跨域本地存储是指通过在网页中嵌入一个隐藏的iframe元素,利用iframe的同源策略来实现跨域本地存储的一种方法。通过这种方式,可以在不同域名的网页之间进行数据传递和存储,同时阻止第三方cookie的访问。

分类: 使用iframe的跨域本地存储可以分为两种类型:同步存储和异步存储。

  1. 同步存储:在同步存储中,通过在iframe中设置document.domain属性来实现跨域通信。这种方式要求主页面和iframe页面的域名必须属于同一个父域名。
  2. 异步存储:在异步存储中,通过使用postMessage API来实现跨域通信。这种方式可以在不同域名之间进行跨域通信,提供了更大的灵活性。

优势: 使用iframe的跨域本地存储具有以下优势:

  1. 阻止第三方cookie:通过使用iframe的同源策略,可以有效地阻止第三方cookie的跨域访问,增强用户的隐私保护和安全性。
  2. 跨域通信:可以在不同域名之间进行数据传递和存储,方便实现跨域通信的需求。
  3. 灵活性:使用异步存储方式可以在不同域名之间进行跨域通信,提供了更大的灵活性和扩展性。

应用场景: 使用iframe的跨域本地存储可以应用于以下场景:

  1. 跨域数据传递:当需要在不同域名的网页之间传递数据时,可以使用这种技术实现跨域数据传递。
  2. 跨域认证:在跨域认证场景下,可以使用这种技术实现安全的跨域认证机制。
  3. 跨域单点登录:在跨域单点登录场景下,可以使用这种技术实现用户在不同域名之间的单点登录功能。

推荐的腾讯云相关产品: 腾讯云提供了一系列与云计算相关的产品和服务,以下是一些推荐的产品和产品介绍链接地址:

  1. 腾讯云对象存储(COS):提供安全、稳定、低成本的云端存储服务,适用于各种场景下的数据存储需求。详细信息请参考:https://cloud.tencent.com/product/cos
  2. 腾讯云云服务器(CVM):提供弹性、安全、稳定的云服务器,支持多种操作系统和应用场景。详细信息请参考:https://cloud.tencent.com/product/cvm
  3. 腾讯云数据库(TencentDB):提供高性能、可扩展的云数据库服务,包括关系型数据库和非关系型数据库。详细信息请参考:https://cloud.tencent.com/product/cdb

请注意,以上推荐的产品仅作为示例,并非广告宣传。在实际应用中,您可以根据具体需求选择适合的产品和服务。

页面内容是否对你有帮助?
有帮助
没帮助

相关·内容

Web安全之CSRF实例解析

-- form 表单的提交会伴随着跳转到action中指定 的url 链接,为了阻止这一行为,可以通过设置一个隐藏的iframe 页面,并将form 的target 属性指向这个iframe,当前页面iframe...-- form 表单的提交会伴随着跳转到action中指定 的url 链接,为了阻止这一行为,可以通过设置一个隐藏的iframe 页面,并将form 的target 属性指向这个iframe,当前页面iframe...相对宽松一些,在跨站点的情况下,从第三方站点链接打开和从第三方站点提交 Get方式的表单这两种方式都会携带Cookie。...但如果在第三方站点中使用POST方法或者通过 img、Iframe等标签加载的URL,这些场景都不会携带Cookie。 None。...Fetch的 credentials 参数 如果没有配置credential 这个参数,fetch是不会发送Cookie的 credential的参数如下 include:不论是不是跨域的请求,总是发送请求资源域在本地的

1.4K20

关于第三方cookie的作用域以及针对用户行为的使用

但是可以利用第三方cookie来实现这一的机制,第三方cookie不仅可以存储用户的信息,token之类,更多的可以来实现用户行为的追踪以及分析。...而很多情况下,在跨站点的情况下我们要实现单点登录,那么完全可以使用第三方cookie来实现跨域登录。...我试了一下登录淘宝,登录成功后再访问阿里巴巴,不同的域名,但是访问的时候发现阿里巴巴已经登录了,并且可以观察浏览器中的cookie,这个叫“cna”的cookie就是存储了用户信息,可以把他当做一个第三方...cookie用来跨域的token ?...然而当你退出阿里巴巴的时候,淘宝也跟着注销了,并且cna会在1688中消失,由此可见,cna作为跨域提供了用户的token,另外很多公司旗下会有不同的产品,而不同的产品肯定会使用不同的域名,当然账户肯定也会通用

1.7K30
  • cookie跨域传输cookie问题:nginx跨域代理之proxy_cookie_domain

    cookie作为辨别用户身份、进行Session跟踪而储存在用户本地终端上的数据(通常经过加密),存储格式如下:Set-Cookie: NAME=VALUE(key1=value1&key2=value2...);Expires=DATE;Path=PATH;Domain=DOMAIN_NAME;SECUREExpires 限定本地数据缓存事件Domain确定哪些域名可以访问该数据,默认为存储数据时相对应的域名...Path限定哪些路径可以访问该数据,如果值为“/”,则Web服务器上所有的WWW资源均可读取该Cookie,默认为存储是对应路径Secure 限定通信只有是加密协议时,才可读取本地数据。...跨域传输cookie解决方案设置cookie Domain 通过设置cookie Domain 只能解决主域名相同的 跨子域名的跨域问题。...chrome80版本的声明大致就是说80以后的版本,cookie默认不可跨域,除非服务器在响应头里再设置same-site属性。

    6.8K20

    如何进行渗透测试XSS跨站攻击检测

    3.2.2.1.1. file域的同源策略 在之前的浏览器中,任意两个file域的URI被认为是同源的。本地磁盘上的任何HTML文件都可以读取本地磁盘上的任何其他文件。...3.2.2.1.2. cookie的同源策略 cookie使用不同的源定义方式,一个页面可以为本域和任何父域设置cookie,只要是父域不是公共后缀(public suffix)即可。...不管使用哪个协议(HTTP/HTTPS)或端口号,浏览器都允许给定的域以及其任何子域名访问cookie。...站点可以使用X-Frame-Options消息头来阻止这种形式的跨域交互。 3.2.2.3.1....阻止跨源访问 阻止跨域写操作,可以检测请求中的 CSRF token ,这个标记被称为Cross-Site Request Forgery (CSRF) 标记。

    2.7K30

    简单设置,解决使用webpack前后端跨域发送cookie的问题

    webpack-dev-server会在本地搭建一个服务器,在和后端调试的时候,就会涉及到跨域的问题。...看网上的资料,vue-cli可以通过配置代理来解决跨域的问题: proxyTable: { '/list': { target: 'http://api.xxxxxxxx.com',...changeOrigin: true, pathRewrite: { '^/list': '/list' } } } 具体可以看这篇文章:Vue-cli proxyTable 解决开发环境的跨域问题...:*,表示任何域都可以向服务端发送请求,客户端不需要任何配置,就可以进行跨域调试了。...但是一般的网站,都需要向后端发送cookie来进行身份验证,此时,服务器还需向响应头设置Access-Control-Allow-Credentials:true,表示跨域时,允许cookie添加到请求中

    2.7K00

    浏览器原理学习笔记07—浏览器安全

    跨域资源共享(CORS)策略 同源策略限制了不同源页面间使用 XMLHttpRequest 或 Fetch 无法直接进行跨域请求,大大制约生产力,因此引入 CORS 策略安全地进行跨域操作。...现在注入恶意脚本的方式已不局限于跨域实现,但仍沿用了 跨站脚本 的名称。...,SameSite 三个选项: Strict:完全禁止第三方 Cookie Lax:允许第三方站点的链接打开和 GET 提交表单携带 Cookie,而 POST 或通过 img、iframe 等标签加载的...1.5 页面安全总结 Web 页面安全问题产生的主要原因是浏览器为同源策略开的两个"后门":支持页面中第三方资源引用 和 允许通过 CORS 策略使用 XMLHttpRequest 或 Fetch 跨域请求资源...[b81068lule.png] 2.3.1 持久存储 安全沙箱阻止了渲染进程的 Cookie、文件缓存 等直接访问文件系统。

    1.7K218

    「面试常问」靠这几个浏览器安全知识顺利拿到了大厂offer(实践篇)

    ,因此又在这种开放的基础之上引入了内容安全策略 CSP 来限制其自由程度; 使用 XMLHttpRequest 和 Fetch 都是无法直接进行跨域请求的,因此浏览器又在这种严格策略的基础之上引入了跨域资源共享策略...CORS,让其可以安全地进行跨域操作; 两个不同源的 DOM是不能相互操纵的,因此浏览器中又实现了跨文档消息机制,让其可以比较安全地通信,可以通过 window.postMessage 的 JavaScript...还可以给来源列表指定关键字,包含如下 4 个关键字,使用关键字需要加上单引号: 'none':不执行任何匹配; 'self':与当前来源(而不是其子域)匹配; 'unsafe-inline':允许使用内联...可使用帧,但仅用于网站的本地页面(无第三方来源)。网站上没有 Flash,也没有字体和 Extra。...给 Cookie 设置合适的 SameSite」 当从 A 网站登录后,会从响应头中返回服务器设置的 Cookie 信息,而如果 Cookie 携带了 SameSite=strict 则表示完全禁用第三方站点请求头携带

    85820

    前端 | 解决跨域问题方案

    代理跨域 场景 分析 场景1:你的项目myweb,myweb的前端有一个接口是去访问一个非myweb的服务器。非myweb服务器是第三方服务器,你不能去对第三方服务器做改动。...场景2:你的项目是个微服务架构的。那你的前端页面可能就需要去很多个服务器上访问数据。 原理 解析 跨域请求报错归根结底是浏览器禁止使用XHR对象向不同源的服务器地址发起HTTP请求。...此时,后端rd的接口地址和你发生了跨域问题。这阻止了你们的联调,你只能继续使用你mock的假数据。 解决 方案 CORS需要浏览器和服务器同时支持。...document.domain跨域 场景 一 你在http://www.damonare.cn/a.html页面里使用iframe>调用另一个 http://damonare.cn/b.html...document.domain只适用于 Cookie 和 iframe 窗口,LocalStorage 和 IndexDB 无法通过这种方法跨域。

    77600

    Web安全学习笔记 XSS上

    1.1. file域的同源策略 在之前的浏览器中,任意两个file域的URI被认为是同源的。本地磁盘上的任何HTML文件都可以读取本地磁盘上的任何其他文件。...1.2. cookie的同源策略 cookie使用不同的源定义方式,一个页面可以为本域和任何父域设置cookie,只要是父域不是公共后缀(public suffix)即可。...@font-face 引入的字体一些浏览器允许跨域字体( cross-origin fonts)一些需要同源字体(same-origin fonts)  和 iframe> 载入的任何资源站点可以使用...X-Frame-Options消息头来阻止这种形式的跨域交互 3.1....阻止跨源访问 阻止跨域写操作,可以检测请求中的 CSRF token 这个标记被称为Cross-Site Request Forgery (CSRF) 标记。

    46830

    前端Hack之XSS攻击个人学习笔记

    实际上属于浏览器的特性,而不是缺陷,造成“跨”的假象是因为绝大多数的 XSS 攻击都会采用嵌入一段远程或者说第三方域上的脚本资源。...我们来举个例子,在 A 域通过 iframe 等方式加载 B 域(此时也称 B 域为第三方域),如果我们想通过 B 域来设置 A 域的Cookie,或加载 B 域时带上 B 域的 Cookie,这时就得涉及到...B 域设置 A 域 Cookie 在 IE 下默认是不允许第三方域设置的的,除非 A 域在响应头带上 P3P 字段。...当响应头头带上 P3P 后,IE 下第三方域即可进行对 A 域 Cookie 的设置,且设置的 Cookie 会带上 P3P 属性,一次生效,即使之后没有 P3P 头也有效。...Iframe 攻击者通过 javascript 来添加一个新的Iframe>标签嵌入第三方域的内容(钓鱼网页),此时主页面仍处于正常页面下,具有极高的迷惑性。

    1.8K30

    【Web技术】582- 聊聊 Cookie “火热”的 SameSite 属性

    作用 我们先来看看这个属性的作用: SameSite 属性可以让 Cookie 在跨站请求时不会被发送,从而可以阻止跨站请求伪造攻击(CSRF)。 2....Lax 允许部分第三方请求携带 Cookie None 无论是否跨站都会发送 Cookie 之前默认是 None 的,Chrome80 后默认是 Lax。 3....跨域和跨站 首先要理解的一点就是跨站和跨域是不同的。同站(same-site)/跨站(cross-site)」和第一方(first-party)/第三方(third-party)是等价的。...从上图可以看出,对大部分 web 应用而言,Post 表单,iframe,AJAX,Image 这四种情况从以前的跨站会发送三方 Cookie,变成了不发送。...Post表单:应该的,学 CSRF 总会举表单的例子。 iframe:iframe 嵌入的 web 应用有很多是跨站的,都会受到影响。 AJAX:可能会影响部分前端取值的行为和结果。

    1.8K20

    如何取消Chrome浏览器跨域请求限制、跨域名携带Cookie限制、跨域名操作iframe限制?

    取消跨域限制、跨域名携带Cookie限制、跨域名操作iframe限制之后的Chrome可以更加方便Web前端开发,同时也可以作为一个完美的爬虫框架。...不同域之间相互请求资源,就算作“跨域”,正常情况下浏览器会阻止XMLHttpRequest对象的跨域请求。 2.如何取消跨域请求限制?...=C:\cheomeData 再次启动Chrome后,Chrome将不会阻止跨域请求; 跨域携带Cookie限制 1.什么是跨域携带Cookie?...跨域携带cookie指定是在A域名请求B域名的接口,请求的同时携带B域名的cookie; 正常访问网站时,如果允许跨域请求B域名接口能够正常访问,但是不会携带B域名的cookie。...假设我们在A域名的网页上有一个指向B域名的iframe,我们访问A域名的网页时,B域名的iframe正常显示,但是当我们通过js去操作B域名的iframe时,将会被浏览器阻止(同源域名不会被阻止);相应的通过

    7.5K30

    跨域问题汇总

    不受同源限制: 在浏览器中,、、iframe>、等标签都可以跨域加载资源,而不受同源策略的限制。...一、代理跨域 场景1:你的项目myweb,myweb的前端有一个接口是去访问一个非myweb的服务器。非myweb服务器是第三方服务器,你不能去对第三方服务器做改动。...而有一天,你希望在本地和后端同学进行联调。此时,后端rd的接口地址和你发生了跨域问题。这阻止了你们的联调,你只能继续使用你mock的假数据。 解决方案: CORS需要浏览器和服务器同时支持。如何支持?...四、document.domain跨域 场景1:你的http://www.damonare.cn/a.html页面里使用iframe>调用另一个http://damonare.cn/b.html页面。...document.domain只适用于 Cookie 和 iframe 窗口,LocalStorage 和 IndexDB 无法通过这种方法跨域。

    92030

    前端安全编码规范

    IP地址 通过第三方软件获取,比如客户端安装了Java环境(JRE),则可通过调用`Java Applet`的接口获取客户端本地的IP地址 ---- 1.6 XSS的防御方式 1.HttpOnly 原理...跨站点请求伪造(Cross Sites Request Forgery) 跨站点请求伪造,指利用用户身份操作用户账户的一种攻击方式,即攻击者诱使用户访问一个页面,就以该用户身份在第三方有害站点中执行了一次操作...Third-party Cookie,本地Cookie。服务器在Set-Cookie时指定了Expire Time。过期了本地Cookie失效,则网站会要求用户重新登录。...在 IE 下即使是"iframe>"、``等标签页将不再拦截第三方 Cookie 的发送。主要应用在类似广告等需要跨域访问的页面。...其他安全问题 4.1 跨域问题处理 当服务端设置 'Access-Control-Allow-Origin' 时使用了通配符 "*",允许来自任意域的跨域请求,这是极其危险的 4.2 postMessage

    1.4K11

    跨域

    同源 同源策略限制内容有: Cookie、LocalStorage、IndexedDB 等存储性内容 DOM 节点 AJAX 请求发送后,结果被浏览器拦截了 但是有三个标签是允许跨域加载资源: 的方式可以发起跨域请求,为什么 Ajax 就不会?因为归根结底,跨域是为了阻止用户读取到另一个域名下的内容,Ajax 可以获取响应,浏览器认为这不安全,所以拦截了响应。...但是表单并不会获取新的内容,所以可以发起跨域请求。同时也说明了跨域并不能完全阻止 CSRF,因为请求毕竟是发出去了。 2....使用 nginx 反向代理实现跨域,是最简单的跨域方式。只需要修改 nginx 的配置即可解决跨域问题,支持所有浏览器,支持 session,不需要修改任何代码,并且不会影响服务器性能。...的 src 属性由外域转向本地域,跨域数据即由 iframe 的 window.name 从外域传递到本地域。

    4.6K30

    九种跨域方式实现原理(完整版)

    同源策略限制内容有: Cookie、LocalStorage、IndexedDB 等存储性内容 DOM 节点 AJAX 请求发送后,结果被浏览器拦截了 但是有三个标签是允许跨域加载资源: 的方式可以发起跨域请求,为什么 Ajax 就不会?因为归根结底,跨域是为了阻止用户读取到另一个域名下的内容,Ajax 可以获取响应,浏览器认为这不安全,所以拦截了响应。...但是表单并不会获取新的内容,所以可以发起跨域请求。同时也说明了跨域并不能完全阻止 CSRF,因为请求毕竟是发出去了。...使用nginx反向代理实现跨域,是最简单的跨域方式。只需要修改nginx的配置即可解决跨域问题,支持所有浏览器,支持session,不需要修改任何代码,并且不会影响服务器性能。...的src属性由外域转向本地域,跨域数据即由iframe的window.name从外域传递到本地域。

    1.4K30

    竞争激烈的互联网时代,是否需要注重一下WEB安全?

    利用可被攻击的域受到其他域信任的特点,以受信任来源的身份请求一些平时不允许的操作,如进行不当的投票活动。 攻击方式 1....XSS 一般利用js脚步读取用户浏览器中的Cookie,而如果在服务器端对 Cookie 设置了HttpOnly 属性,那么js脚本就不能读取到cookie,但是浏览器还是能够正常使用cookie。...CSRF攻击条件: 登录受信任网站A,并在本地生成Cookie。 在不登出A的情况下,访问危险网站B。...CSRF的防御 Cookie Hashing(所有表单都包含同一个伪随机值); 验证码; One-Time Tokens(不同的表单包含一个不同的伪随机值); 不让第三方网站访问到用户 Cookie,阻止第三方网站请求接口...永远不要使用动态拼装sql,可以使用参数化的sql或者直接使用存储过程进行数据查询存取。 永远不要使用管理员权限的数据库连接,为每个应用使用单独的权限有限的数据库连接。

    76050

    【安全】899- 前端安全之同源策略、CSRF 和 CORS

    下面是 3 个在实际应用中会遇到的例子: 使用 ajax 请求其他跨域 API,最常见的情况,前端新手噩梦 iframe 与父页面交流(如 DOM 或变量的获取),出现率比较低,而且解决方法也好懂 对跨域图片...(例如来源于 )进行操作,在 canvas 操作图片的时候会遇到这个问题 如果没有了 SOP: iframe 里的机密信息被肆意读取 更加肆意地进行 CSRF 接口被第三方滥用 绕过跨域 SOP...绕过跨域的方案由于篇幅所限,并且网上也很多相关文章,所以不在这里展开解决跨域的方案,只给出几个关键词: 对于 ajax 使用 JSONP 后端进行 CORS 配置 后端反向代理 使用 WebSocket...对于 iframe 使用 location.hash 或 window.name 进行信息交流 使用 postMessage 跨站请求伪造 CSRF 简述 CSRF(Cross-site request...CORS 与 cookie 与同域不同,用于跨域的 CORS 请求默认不发送 Cookie 和 HTTP 认证信息,前后端都要在配置中设定请求时带上 cookie。

    1.4K10
    领券