【网络安全】Session cookie在父子域的通信与安全问题

未经许可，不得转载。

前言

在 Web 开发中，Session Cookie（会话 Cookie）的作用范围（Domain 属性）对于跨域和子域共享至关重要，以下是关于其作用范围的详细说明。

默认行为

若服务器在Set - Cookie响应头中未明确指定Domain属性，那么该Cookie仅适用于当前域名及其子路径。例如，当sub.example.com返回的响应头为Set - Cookie: sessionID=abc123; Path=/时，此Cookie仅会在访问sub.example.com及其子路径时被发送给服务器，不会在访问example.com或api.example.com时发送。

子域与父域、顶级域的关系

• 子域可设置Cookie供父域及其他子域使用：在sub.example.com上设置Set - Cookie: sessionID=abc123; Domain=example.com; Path=/是可行的。设置后，该Cookie不仅可在example.com上使用，也能在同一父域下的其他子域（如api.example.com）使用，前提是请求路径符合Path属性的设定。
• 子域不能