使用 P3P 规范让 IE 跨域接受第三方 cookie

前两天帮同事处理一个 js 跨域问题，使用 jsonp 跨域提交用户名密码请求，实现自动登录第三方网站，即 SSO(single-sign-on) 单点登录，一处登录处处登录。在 Chrome 下没问题，IE 却不行。查看 HTTP 的几个来回，发现登录请求是成功的，问题出在第三方网站返回的 cookie (session id) IE 并没有接受，下一次发送请求时根本没有带上 cookie，说明之前的 Set-Cookie 指令没有效果，所以怎么也登录不了。查了一下，有人使用 iframe 内嵌网页的形式，也遇到了 IE 下不能设置 cookie 的情况。

如果在“Internet选项”中把“隐私”级别设置为低，或者把第三方域名列入“可信站点”就没问题了。但是我们不可能让每个用户去更改 IE 设定吧？这是一个很常遇到的场景，肯定有别的解决办法。

浏览器的第三方 cookie 限制

所谓第三方 cookie，就是说你访问网页 A，却接收到域名 B 的 cookie 设定指令。这可能是由于网页 A 请求或链接了 B 的网页，比如上面提到的 iframe 以及 jsonp。

我查到了各个浏览器对于跨域的处理规则，可以看到第三方 cookie ，IE 在默认设置中是做了限制的。

不同浏览器的第三方 cookie 规则

	IE	FIREFOX	CHROME	SAFARI	OPERA
限制第三方coookie	是	否	否	是	否

要解决这个问题，有 2 种方法，一个就是上面说到的调整 IE 设置，将第三方域名加入到可信网站列表中；另一个方法，就是 P3P 了。

P3P？

P3P 全称 Platform for Privacy Preferences，隐私设定平台规范。这个规范极其复杂，若要讲清楚，天都黑了一半。简言之，就是网站向浏览器声明自己的隐私政策，比如网站是否搜集访问者的个人信息，设置 cookie 的用途等等。浏览器会依据设置，决定在第三方请求的条件下是否接受网站的 cookie。

完整地部署 P3P 包括设立隐私政策文件（policy.html）、原则档（policy.xml）、参考档（p3p.xml），有兴趣详细了解的可以参考 MSDN 中关于部署 P3P 的文章。

这搞得太复杂了，我只是想在公司内部做各个管理系统的单点登录而已。好在还是有比较简单的方法的，就是发送 P3P 相关的 HTTP header。

ASP.NET:

HttpContext.Current.Response.AddHeader("p3p", "CP=\"IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT\"");

PHP:

header('P3P:CP="IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT"');

JSP:

response.setHeader("P3P","CP='IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT'");

好吧，这些 IDC DSP 什么的是啥意思啊？

这些标签就是 P3P 所规定的了，例如 NOI 表示不搜集可识别用户的资料，ADM 表示信息搜集会用于网站管理……查看完整清单，中文简要清单。

浏览器会根据这些标签决定是否接受 cookie，根据测试结果，加上 NOI 最省事，一个就够了。不过网站一般很难做到 NOI，除非永远匿名，“登录”功能可能就违背了NOI。理论上讲，标签应该真实地反映网站的信息搜集行为，若声明的隐私政策与实际行为不符，是会要负法律责任的。Stackoverflow 有篇讨论提出了法律相关议题，可以参考。

除了传送 P3P http header，还可以通过 HTML meta 标签，或者 设定 IIS 服务器 来声明 P3P。

PS:查看好几篇类似JSP中使用P3P解决跨域的方法，发现P3P的值不太一样，但在IE9下都是正确的，在此记录一下

response.setHeader("P3P","CP='IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT'");
response.setHeader("P3P","CP=\"NON DSP COR CURa ADMa DEVa TAIa PSAa PSDa IVAa IVDa CONa HISa TELa OTPa OUR UNRa IND UNI COM NAV INT DEM CNT PRE LOC\"");
response.setHeader("P3P","CP=CAO PSA OUR");
response.setHeader("P3P","CP='CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR'");

----------------------------------------------------------------------------------------------------------------------------------------------------------------------------

简述:

 

从本质上来说， P3P 策略是由一系列多选项问题的答案组成的，因此，它并不总像一个人类可读的隐私策略那样包含许多信息细节（例如，用英语或者其他某种口语语言写成的策略是用来让人阅读的,而不是让计算机识别的）。P3P策略的标准格式使它便于自动处理。同 样 ， P3P规范也包含有用于请求和传输P3P策略的协议.P3P协议所基于的HTTP协议与 Web 浏览器用来与 Web服务器进行通信的 HTTP 协议相同。如图 1-1 所示，P3P 的用户代理使用标准的 HTTP 请求从 Web 站点上一个众所周知的地方获取 P3P 策略引用文件，并发送给发出请求的用户。这个策略引用文件指出了Web站点上各个部分所应用的P3P策略文件的位置。整个站点有可能只应用了一种策略，也可能是网站的不同部分分别应用了几种策略。这样用户代理就可以根据用户的选择来获取合适的策略，将其解析出来并采取相应的动作

 

 

P3P 也允许站点在其他位置放置策略引用文件。在这些情况下，站点在声明策略引用文件的位置时，必须使用一个特定的 HTTP 报头，或者在应用了 P3P 策略的H T M L 文 件 内 嵌 入 一 个 L I N K 标 记 .

不论在何时设置cookie都可以用特定的HTTP报头来传送一个可选的 P3P 简洁策略.简洁策略是完整 P3P 策略的一个短小摘要，仅描述了与cooki e 相关的数据处理方式，并且不需要P3P 策略的完整的表达性能.

 

 

 

 

 

 

 

 

 

 

 

如何使Web站点支持P3P:
从技术角度看，使 Web站点支持 P3P 是一个很容易的过程。但是，它要求网络运营商在审视数据处理方式时比以前更加仔细，并要求他们协调域内各个主机上的策略和处理方式。以下是如何使站点支持P3P 技术的具体步骤。

1. 创建一个隐私策略。
2. 分析 cookie 的使用情况以及您的站点上的第三方内容。
3. 确定要对整个站点应用一个P3P策略还是对站点的不同部分应用不同的P3P 策略。
4. 为站点创建一个或几个 P3P 策略。
5. 为站点创建一个策略引用文件。
6. 为 P3P 配置服务器。
7. 测试站点，以确定它确实支持 P3P。

 

 

大多数支持P3P 的Web站点会在每台服务器上放置一个P3P策略引用文件，同时它还会在中央服务器上放置一个或多个P3P策略。这些站点也会将自己的服务器配置为用户在设置 cooki e 时发送 P3P 的简洁策略。P3P 策略包括以下信息：

● 如何与拥有该站点的公司、组织或个人进行联系的信息。
● 用户是否可以查找该站点的数据库中保存了自己的哪些个人信息。
● 如何解决与站点之间有关隐私的纠纷（如客户服务台、隐私封印以及与隐私相关的法律等）。
● 所收集数据的种类。
● 所收集数据的使用方式，以及用户是否能选择接受或拒绝这些用途。
● 信息是否会被共享以及何时被共享，用户是否有选择的权力。
● 对所收集的用户信息进行定期清除的策略。

有很多软件工具可以帮助Web站点开发人员开发支持P3P的站点。

要想了解最新的P3P 工具列表，请访问http://p3ptoolbox.org/tools/     和     http://www.w3.org/P3P/implementations/

 

 

 

 

简洁策略对应的 HTTP Response Header :

 

相关资源: http://www.w3.org/2002/04/P3Pv1-header.html 

 

 

Compact Policies (简洁策略)

 

简洁策略,本质上就是P3P策略的一个摘要. 他们的作用是,使用户代理,可以快速敏捷的获取到站点的P3P策略信息,所以是对性能有益的.

为了深入的解释简洁策略,按照 P3P1.0[4]规范,我们列出下面这些限制性的语法：

compact-policy-field         =   `CP="` compact-policy `"`

compact-policy                = compact-token *(" " compact-token)

compact-token                = compact-access           |

                                        compact-disputes         |

                                        compact-remedies         |

                                        compact-non-identifiable |

                                        compact-purpose          |

                                        compact-recipient        |

                                        compact-retention        |

                                        compact-categories       |

                                        compact-test 

compact-access           = "NOI" | "ALL" | " CAO" | "IDC" | "OTI" | "NON"

compact-disputes            = "DSP"

compact-remedies          = "COR" | "MON" | "LAW"

compact-non-identifiable = "NID"

compact-purpose           = "CUR"        | "ADM" [creq] | "DEV" [creq] | "TAI" [creq] |
                                       " PSA" [creq] | "PSD" [creq] | "IVA" [creq] | "IVD" [creq] | 

                                       "CON" [creq] | "HIS" [creq] | "TEL" [creq] | "OTP" [creq]

creq                              = "a" | "i" | "o"

compact-recipient       = " OUR" | "DEL" [creq] | "SAM" [creq] | "UNR" [creq] |
                                        "PUB" [creq] | "OTR" [creq]

compact-retention          = "NOR" | "STP" | "LEG" | "BUS" | "IND"

compact-category           = "PHY" | "ONL" | "UNI" | "PUR" | "FIN" | "COM" |

                              "NAV" | "INT" | "DEM" | "CNT" | "STA" | "POL" | 

                                        "HEA" | "PRE" | "LOC" | "GOV" | "OTC"

compact-test                  = "TST"

 

 

 

 

 

 

 

 

 

我们常用的简洁策略的 P3P头为 -   P3P : CP=CAO PSA OUR （其实, CP=. 就可以了.或者其他任何值都是可以的）分别对应了 :

 

 

 

　　compact-access(访问)    :  CAO -  contact-and-other 

Identified Contact Information and Other Identified Data: access is given to identified online and physical contact information as well as to certain other identified data.

直译 : 被识别的联系信息,和其他被识别的数据: 网上,或现实中的联系信息,和某些被识别的数据,允许被访问. 

我的理解: 应该是, 允许被确认的信息和数据的访问. (允许第三方cookie的读写)

 

 

　　compact-purpose(目的)  :  PSA -  pseudo-analysis .这个就不放解释了,字面意思很明显, 目的就是做身份验证、分析

 

 

 

 

 

　　compact-recipient(受体) :  OUR - ours

Ourselves and/or entities acting as our agents or entities for whom we are acting as an agent: An agent in this instance is defined as a third party that processes data only on behalf of the service provider for the completion of the stated purposes. (e.g., the service provider and its printing bureau which prints address labels and does nothing further with the information

直译 :  我们自己,以及（或）实体作为我们自己的代理,或被我们所代理方的实体:这种情况下的代理,被定义为,相关进程数据,代表服务提供者,用来完成其所设定服务的,第三方.(就好像,一个印刷局作为提供打印服务的,服务提供者,其只负责打印标签神马的,但是却不会进一步,对相关的信息,做任何事情 )

 

我的理解:声明使用相关信息的人是谁.这里声明是第三方自己, 或作为代理.需要操作第三方Cookie. 大概就是这个意思.

 

 

 

 

　　ps : 其他项就不列举,基于浏览器中只有IE支持.(chrome 部分支持).这一事实.深入研究没有必要. 如果你有兴趣,可以去相关链接查看文档.

 

 

 

 

 

用户代理对简洁策略支持的状况 和实现, 拿IE6来说:

 

 

IE6 ，可以自动核对设置了 cooki e的站点的 P3P 简洁策略。用户也可以配置 IE6 来过滤那些没有简洁策略的cookie，或那些具有与他们的偏好不相匹配的简洁策略。当 cookie 被阻止时，IE6还会在浏览器的右下角显示一个“眼睛”符号。用户也可以从Vi ew（查看）菜单中选择Privacy Report（隐私报告）命令来让 IE6 获取站点的 P3P 策略，并生成及显示一个人们可读取的版本

 

对于众多提示性的反馈,是十分符合 P3P隐私策略的.即用户代理应该在恰当的时候,提醒用户.

 

已测知的问题:

 

 

IE6 第三方cookie 在有p3p头(使用p3p简洁策略时) ,JS虽然有读写权限,但是在写的时候有个bug. 即,对于某第三方页面,如果是首次读到.其P3P头的话,则 js的写权限是没有的.必须要第二次访问到这个页面,且这个页面存在第三方cookie操作时,才允许JS写入Cookie.当然,读是一直没问题的.

Safair3,则顽固到连Post方式都无法写入第三方Cookie.

 

Safari4+ 系列则有自己一套隐私策略,而完全无视P3P的存在:

在其不支持P3P的情况下,其策略为. 默认设置浏览器禁止第三方Cookie操作.那么此时,无论JS 还是 HTTP ，都无写入Cookie的权限,而仅具备读的权限. 

除非, 进行表单Post时,才允许第三方Cookie的写入.参考下面的代码: (在//www.a.com/test.htm 中的代码)

 

if(Safari4或Safari5){

    var ifm = document.createElement('iframe');

    ifm.name ="postforcookie";

    ifm.src="about:blank";

    document.body.appendChild(ifm);

   

    var form = document.createElement('form');

    form.target = 'postforcookie';

    form.action = '//www.php.com/test.php';

    document.body.appendChild(form);

   

    Cookie.setCookie = function () {

        form.submit();

    }

}  

 

假设,setCookie是一个写入第三方Cookie的函数,则在Sacari4,Sacari5下劫持他们,触发代码中 form的submit即可.

此时,如果//www.php.com/test.php，有写入Cookie的操作.则可以保证第三方Cookie被写入.

 

 

 

 

 

 

 

默认不禁止第三方cookie的浏览器测试:

 

测试为在下列浏览器中,禁止第三方Cookie,并配置简洁P3P策略.

 

 

Firefox下 :

Firefox下禁止第三方Cookie后，很直接, 无论HTTP 还是 JS都无法读写Cookie.

 

 

 

 

 

 

 

Chrome:

Chrome10 开始 支持用户自定义是否允许在 地址栏: about:flags 中配置 是否允许第三方cookie.

而之前的版本需要通过, 选项-高级选项-隐私权-内容设置-拦截第三方cookie 来配置.

 

 

对于chrome9 和之前的Dev版本来说,通过选项配置禁止第三方cookie后, 在配置P3P简洁策略后, JS 可读cookie,但不能写,而 HTTP方式,则都可以.

而chrome10+ 无论选择什么方式设置, 只允许HTTP、JS读,但是不允许写.

 

而Chrome的非Dev版, 甚至没有提供第三方Cookie的隐私策略选项. 有的仅仅是,关于Cookie的站点允许列表,或者主动访问过的站点的Cookie.

 

 

 

 

 

 

 

Opera:

通过 工具-首选项-高级-Cookie-仅接受来自我访问站点的Cookie 来设置禁止第三方Cookie.

 

 

Opera的有趣之处在于,一但禁止第三方Cookie,则 P3P头毫无意义,而Opera自身的隐私策略则非常有趣,

允许JS 的读写,以及HTTP的读, 但是禁止HTTP 对Cookie的写入.

 

 

总结:

 

 

浏览器	默认允许第三方Cookie	是否支持P3P	禁止第三方Cookie后,配置P3P简明策略头的效果	补充
IE6	否	是	HTTP可读写Cookie JS可读Cookie 首次读到P3P头,JS无写Cookie权限.第二次才OK (第二次.直接Cache.也不行.除非第一次非Cache并读到p3p头.后面我会提到解决方案.)	避免JS的写操作
IE7-IE9	否	是	HTTP、JS,可随意读写.	-
FireFox	是	否	HTTP、JS都不可读写	-
Chrome	是	部分支持,趋势-否	趋势为HTTP、JS可读不可写.	-
Safari	否	否	HTTP、JS可读不可写	借助Post提交表单,实现写操作.
Opera	是	否	JS可读写 HTTP可读不可写.	-

 

 

 

 

 

 

建议:

 

1. 其实P3P简洁策略,可以最简写成: P3P:CP=. 就OK啦,也就是说IE对P3P简洁策略的支持，属于搞笑级别的.根本不看内容,至少对于第三方操作cookie是如此的.

2. IE6的实现有bug.需要注意.首次访问第三方页面,JS无法写入第三方Cookie的bug.建议尽量避免JS对Cookie的写操作.

3. 要搞定Safari,需要借助后台至少配置一个APP,与前台配合.5.14+已不可用.)

4. 对于第三方来说,建议避免使用JS操作Cookie,最多用来读,而不是写. 除非是和登录验证有关,否则建议使用Storage代替Cookie的使用.

 

最后:

如果你非要用在ie6下，用js写cookie. 那么有一个很悲剧的做法.. 服务器端给资源配置可缓存.(包括反向代理和客户端.) 然后想办法在IE6的时候刷新一次页面.这样就ok了. 刷新时一定要用 location.reload(false)  即先忽略客户端缓存.尝试304服务器端校验客户端缓存可靠性..这样做的好处是.即保证了 cookie的写入性. 又保证,如果页面是静态资源.则反向代理的可用性.. 否则还是直接用动态资源,http方式去写好了.  需要注意的是.除了页面刷新.譬如其他方式加载页面资源.试图通过预读其p3p简洁策略头.是无效的. 比如 用 script type="text/c" 方式去预读一次. 如果你有这个想法。还是早早放弃的好. 

 ps : 如果遇到ie6 js死活都写不进去cookie <meta charset=utf-8 />  .至于为毛, 我也不知道..只知道,不声明编码方式. 可能导致 ie6 配置p3p后 js还是写不了cookie的bug,并提示 读不到隐私策略..balablabla 的.

参考链接：
http://blog.darkthread.net/post-2011-10-27-p3p-header-and-iframe-session.aspx

http://www.lovelucy.info/ie-accept-third-party-cookie.html

http://blog.csdn.net/cuihaiyang/article/details/8106651

http://www.cnblogs.com/_franky/archive/2011/03/16/1985954.html

http://www.w3.org/P3P/

http://www.w3.org/TR/2002/REC-P3P-20020416/