第三方 Cookie - 具有会话跟踪功能的跨域 API

Question

鉴于 CORS API 需要会话 cookie 来跟踪用户在结帐过程中的移动，因此在多个浏览器中存在一些问题，即在用户访问托管 API 的站点后才会设置 cookie。

例如：

johnny.com 使用来自 jacob.com 的 CORS JSON API。jacob.com 会在第一次 AJAX 调用后设置 cookie，但有些浏览器不会为后续调用设置 cookie。因此，API 不会按预期运行。

浏览器行为：

• 除非故意禁用“第三方 cookie”，否则 Chrome 似乎运行良好。似乎没有解决方法。

• 除非初始调用返回了 P3P 隐私策略标头，否则 IE 不允许初始设置 cookie。

• 除非使用 hack，否则 Safari 不允许最初设置 cookie（请参阅：http : //measurablewins.gregjxn.com/2014/02/safari-setting-third-party-iframe.html）

非常感谢有关如何解决这些问题的任何见解。

Answer 1

不幸的是，似乎没有选项可以让所有浏览器都能正常工作。

Safari现在限制第三方使用 cookie。似乎最好的是评估替代方案：

• 设置一个代理服务器，将调用重定向到不同的服务（例如，当您点击 johnny.com/jacob/abc 时，充当代理以检索 jacob.com/abc）
• 在 API 上使用 oauth 登录（这可能不切实际）
• 将 API 移至 johnny.com/api/...

Paypal 还创建了几个基于 js 的解决方案来尝试解决此类问题：https : //medium.com/@bluepnume/introducing-paypals-open-source-cross-domain-javascript-suite-95f991b2731d