iframe嵌套第三方页面跨域带cookie问题

当192.168.40.26服务器上的项目嵌入192.168.40.67的第三方系统时,由于跨域限制导致登录成功后页面无法跳转。分析原因是浏览器不允许携带cookie跨域。解决方案是在192.168.40.26上安装Nginx并配置代理转发,使请求看起来来自同一IP,从而允许cookie传递,成功解决页面跳转问题。前端代码也需要相应调整,将访问后端的IP改为代理IP。

问题描述:

192.168.40.26服务器上有一个项目,某个页面嵌入了第三方系统平台,
第三方系统平台服务器地址是:192.168.40.67
页面嵌入成功,只能访问到登录页,登陆成功但是页面不进行跳转。
如果单独登录第三方平台,如下图:
在这里插入图片描述

嵌入第三方后页面 ,如下图:
在这里插入图片描述
在这里插入图片描述
提示正常登陆成功,却没有跳转页面。页面晃动一下,但还是停留在登陆页面上。

问题分析:

浏览器根据IP存储cookie192.168.40.26访问192.168.40.67时,浏览器不允许携带cookie过去,发生了跨域。
嵌入页面时使用192.168.40.26IP地址访问第三方192.168.40.67登录接口时登陆成功,返回了证明登录成功的响应消息。但是再次请求别的接口时需要携带证明登陆成功的身份信息,而ip地址不同,浏览器阻止了携带cookie,导致请求失败。
嵌套页面未携带cookie去请求,192.168.40.26访问192.168.40.67的页面也就失败了。
需要把地址统一,统一之后其实是共用一个cookie

192.168.40.26主机上安装nginx,并且进行配置转发请求。
使用nginx转发时,浏览器判断IP一致,将请求头内容一起携带过去请求第三方接口。

问题解决:

192.168.40.26上安装nginx,使用nginx代理转发端口。
具体操作如下:
一、安装nginx
Windows请参看:https://blog.youkuaiyun.com/zhengaog/article/details/117993542
Linux请参看:https://blog.youkuaiyun.com/zhengaog/article/details/119485385
只看安装nginx和修改配置部分即可。

二、修改nginx配置
Linux系统:Nginx全局配置/etc/nginx/nginx.conf
Windows系统:在自己安装目录找到nginx.conf文件
在这里插入图片描述
完成配置后,
192.168.40.26:18080访问192.168.40.26:20080时,nginx将会代理转发到访问192.168.40.67:8090
192.168.40.26:18080访问192.168.40.26:10024时,nginx将会代理转发到访问192.168.40.67:10024
如果有多个server需要nginx转发,可以并行写多个server。

此时页面正常跳转访问。

需要注意:

需要注意的是如果第三方服务做了前后端分离,需要把修改前端访问后端时的IP地址为代理IP地址。
例如下图:
在这里插入图片描述
前端代码重新打包部署一下就可以了。

记录过程。欢迎指正!欢迎补充!

现代浏览器(如 Chrome、Firefox、Safari)为了增强隐私保护,**默认限制第三方 Cookie(Third-party Cookies)**。这在请求中尤其明显,尤其是在嵌套iframe 中的场景(如广告、登录弹窗等)。 --- ## ✅ 问题背景 **第三方 Cookie 是什么?** 当一个网站 A(`https://site-a.com`)加载了网站 B 的资源(如 iframe、图片、脚本),而网站 B 的 Cookie 被设置为在网站 A 的上下文中发送时,这个 Cookie 就被称为“第三方 Cookie”。 **为什么浏览器要限制第三方 Cookie?** - 防止站追踪(Cross-site tracking) - 保护用户隐私 - 防止 CSRF(站请求伪造) --- ## ✅ 解决方案汇总 ### ✅ 方案一:使用 SameSite=None + Secure 的 Cookie 属性(推荐) 这是目前最主流的解决方式,适用于请求需要携 Cookie 的场景(如登录状态)。 #### 后端设置(Spring Boot 示例): ```java import org.springframework.context.annotation.Configuration; import org.springframework.web.servlet.config.annotation.CorsRegistry; import org.springframework.web.servlet.config.annotation.WebMvcConfigurer; @Configuration public class CorsConfig implements WebMvcConfigurer { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/api/**") .allowedOrigins("https://frontend.com") // 不能是 * .allowedMethods("GET", "POST", "PUT", "DELETE") .allowedHeaders("*") .allowCredentials(true) .exposedHeaders("Authorization") .maxAge(3600); } } ``` #### 后端响应中设置 Cookie 示例(Java Servlet): ```java HttpServletResponse response = ...; Cookie cookie = new Cookie("JSESSIONID", "abc123"); cookie.setPath("/"); cookie.setSecure(true); // 必须 HTTPS cookie.setHttpOnly(true); cookie.setAttribute("SameSite", "None"); // 允许 response.addCookie(cookie); ``` > ⚠️ 注意:必须使用 HTTPS,否则 `SameSite=None` + `Secure` 会被浏览器忽略。 --- ### ✅ 方案二:使用 Token(如 JWT)代替 Cookie Token 是一种无状态的认证方式,前端将 Token 存储在 `localStorage` 或 `sessionStorage` 中,并在每次请求时通过 `Authorization` 请求头发送。 #### 示例: ```javascript fetch('https://api.example.com/api/data', { method: 'GET', headers: { 'Authorization': 'Bearer your-jwt-token' } }) ``` #### 优点: - 不依赖 Cookie,绕过浏览器限制 - 更适合移动端和场景 - 可以配合 OAuth2、JWT 使用 --- ### ✅ 方案三:使用后端代理(避免) 前端不直接访问第三方服务,而是通过自己的后端作为代理。 #### 示例: - 前端请求:`/api/data`(同源) - 后端转发请求到:`https://third-party.com/api/data` 这样浏览器认为是同源请求,不会触发限制。 --- ### ✅ 方案四:使用 OAuth2 隐式流程或 PKCE 在登录场景中,使用 OAuth2 的隐式流程(Implicit Flow)或 PKCE(Proof Key for Code Exchange)可以避免依赖 Cookie。 #### 优点: - 支持现代浏览器对隐私的限制 - 适用于移动端和 SPA(单页应用) --- ### ✅ 方案五:使用 iframe + 本地 Cookie(适用于嵌套场景) 如果你的应用被嵌入在 iframe 中,可以尝试让用户先访问你的名,设置 Cookie,然后再跳转到父页面。 #### 示例流程: 1. 用户点击登录按钮,跳转到 `https://yourdomain.com/login` 2. 登录成功后设置 Cookie(SameSite=None + Secure) 3. 页面跳回嵌入的 iframe 或主站 --- ## ✅ 浏览器兼容性说明 | 浏览器 | 支持 SameSite=None | 限制第三方 Cookie | |--------|--------------------|-------------------| | Chrome 80+ | ✅ | ✅ | | Firefox 63+ | ✅ | ✅ | | Safari ITP | ✅ 但限制更强 | ✅ | | Edge 18+ | ✅ | ✅ | --- ## ✅ 推荐实践总结 | 场景 | 推荐方案 | |------|----------| | 简单 API 请求 | 使用 Token(如 JWT) | | 登录态共享 | SameSite=None + Secure Cookie(HTTPS) | | 嵌套 iframe 场景 | 后端代理 + Token 或 OAuth2 | | SPA + 微服务架构 | 使用 OAuth2 + PKCE | | 需要 Cookie 回传 | 设置 SameSite=None + Secure + HTTPS | --- ##
评论 27
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值