你最喜欢的跨域cookie分享方法是什么？
我看到iframe / p3p技巧是最受欢迎的技巧之一，但我个人不喜欢它，因为JavaScript +隐藏的字段+框架真的使它看起来像一个黑客的工作。 我也遇到了使用Web服务进行通信的主从方法（ http://www.15seconds.com/issue/971108.htm ），这似乎更好，因为它对用户是透明的，并且对不同的浏览器也是强大的。
有没有更好的方法，每个方法的优缺点是什么？
我的方法是将一个域指定为“中心”域，将其他任何域指定为“卫星”域。
当有人点击“login”链接（或提供一个持久的logincookie），login表单最终将其数据发送到中央域的URL，以及一个隐藏的表单元素，说明来自哪个域为了方便起见，以后用户redirect）。
然后，中央域的这个页面继续设置一个会话cookie（如果login进行的很好），并redirect到用户login的任何域，并在URL中为该会话特有的特殊生成的令牌。
卫星URL的页面然后检查该标记以查看它是否对应于为一个会话生成的标记，如果是，则redirect到它本身而没有标记，并设置本地cookie。 现在卫星域也有一个会话cookie。 这个redirect从URL中清除了令牌，所以用户或者任何爬虫都不可能logging包含该令牌的URL（尽pipe如果他们这样做，应该没关系，令牌可以是单次使用的令牌）。
现在，用户在中央域和卫星域都有一个会话cookie。 但是如果他们访问另一个卫星呢？ 那么，通常情况下，他们会觉得卫星是未经authentication的。
但是，在我的应用程序中，只要用户处于有效会话中，其他卫星域上所有页面的链接都会附加一个？或者＆s。 我保留这个'查询string的意思是“检查中央服务器，因为我们认为这个用户有一个会话”。 也就是说，任何HTML页面上都不会显示任何令牌或会话ID，只会显示无法识别某人的字母。
如果没有有效的会话，那么接收这样一个's'查询标签的URL将会redirect到中心域名，说“你能告诉我这是谁的吗？ 通过把东西放在查询string中。
当用户到达中央服务器时，如果他们通过身份validation，那么中央服务器将只收到他们的会话cookie。 然后它将用另一个使用令牌将用户送回卫星，卫星将在login后像卫星一样对待卫星（见上文）。 也就是说，卫星现在将在该域上build立一个会话cookie，并redirect到它本身以从查询string中移除该标记。
我的解决scheme没有脚本或iframe支持。 它需要将'？s'添加到用户可能还没有在该URL的cookie的任何跨域URL。 我想到了解决这个问题的一种方法：当用户首次login时，在每个域上设置一个redirect链，在每个域上设置一个会话cookie。 我没有实现这一点的唯一原因是，这将是复杂的，你需要能够有一个设置的顺序，这些redirect将发生在什么时候停止，并会阻止你扩大超过15个域左右（太多了，你变得危险地接近许多浏览器和代理的“redirect限制”）。
如果您完全控制了所有域的后端，这是一个很好的解决scheme。 在我的情况下，我只有一个客户端（JavaScript / HTML）控制，另一个完全控制，因此我需要使用iframe / p3p方法，这将吸收:(。
在那篇文章中的例子似乎对我来说是可疑的，因为你基本上redirect到一个url，而这个url又将查询string中的variables传回给你的域。
在这个例子中，这意味着恶意用户可以简单地导航到http://slave.com/return.asp?Return=blah&UID=123 “并以用户123的身份login到slave.com。
我是否遗漏了一些东西，或者是否知道这种技术是不安全的，不应该被用于像这个例子那样的事情（传递用户标识的东西，大概是为了使自己的身份变得可移植）。
@thomasrutter
你可以避免pipe理卫星上的所有出站链接（通过附加“查询string”），通过在页面加载时进行ajax调用来检查“中央”域的身份validation状态。 您可以通过每个会话只有一个来避免多余的调用（在后续页面加载中）。
在加载页面之前进行authentication检查请求服务器端可能会更好，这样（a）你可以更有效地访问会话，并且（b）你将在页面呈现时知道用户是否login并相应地显示内容）。
我们使用Cookie链接，但这不是一个好的解决scheme，因为当其中一个域名对用户不起作用时（由于过滤/防火墙等原因），它会中断。 较新的技术（包括您的）只有在执行cookie /pipe理login的“主”服务器中断时才会中断。
请注意，您的return.asp可能会被滥用以redirect到任何网站（请参阅此例）。
好吧，我似乎find了一个解决scheme，你可以创build一个脚本标签，加载你想要设置/获取cookie的域的src …到目前为止，只有safari似乎不能设置cookie，但是Ie6和FF工作正常…如果你只想获取cookies，这是一个非常好的方法。
您还应该根据域b，c，d来validation活动会话信息。这样，只有当用户已经login到域a时，才能login。
你所做的是在域名接收variables你检查引用地址，以及你可以确认链接是从你自己的域名，而不是简单地input地址栏中链接的人。 这种方法运作良好。
