P3PHeader是W3C制定的隐私标准，用于跨域访问控制，如广告页面。它影响浏览器对第三方Cookie的拦截，可能削弱对CSRF攻击的防御。IE和Safari等浏览器默认拦截第三方Cookie，但P3PHeader可改变此行为。
P3P Header是W3C制定的一项关于隐私的标准，全称The Platform for Privacy Preferences
主要应用
主要用于类似广告等需要跨域访问的页面。
P3P引发的安全问题
- 本来一些浏览器（如IE，Safari）是拦截第三方Cookie发送的，一定程度上降低了CSRF的威力。
- 但是如果网站返回给浏览器的HTTP头中包含有P3P头，则在某种程度上来说，将允许浏览器发送第三方Cookie，即使是IE下的
<iframe><script>标签。 - P3P头设置之后，对于Cookie的影响将扩大到整个域中的所有页面，因为Cookie是以域和path位单位的，这并不符合“最小权限”原则。
- P3P头目前应用广泛，所以不能依赖于浏览器对Cookie的拦截策略，在防御CSRF的时候不能心存侥幸
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
