Cookie是否随图像请求一起发送？

Question

如果我有一个网站(例如foo.com)并且在foo.com的主页上有一个图像请求,其中src = bar.com ...,bar.com域上的cookie将被发送到bar.com服务器？

谢谢!

Answer 1

是.HTTP不区分一种资源或另一种资源(图像与html).

Answer 2

这个问题很老了，但对我来说是谷歌上的第一个结果，所以我认为有必要澄清它现在（2021）是如何工作的。

当 bar.com 设置 cookie 时，他们可以指定一个SameSite属性。

如果使用SameSite=Lax设置 cookie （或未指定 SameSite 属性），则不会为bar.com 上托管的图像/iframes/etc 的请求发送 cookie，但如果用户单击链接，则会发送 cookie在您的 foo.com 主页上，将他们带到 bar.com

如果使用SameSite=Strict设置 cookie ，则该 cookie将不会包含在源自其他网站的对 bar.com 的请求中，包括用户单击 foo.com 上的 bar.com 链接的情况。

如果 cookie 设置为SameSite=None，则 cookie将被发送到 bar.com，包括图像请求。

Answer 3

cookie通常包含在任何类型的请求中,但您描述的场景是所谓的第三方cookie(即,cookie是在与加载页面的域不同的域上设置的),并且大多数浏览器提供隐私设置来阻止第三方cookie.

第三方cookie允许bar.com的所有者在foo.com上放置图像(例如横幅广告)并跟踪foo.com的用户,即使这些用户从未访问过bar.com.这是一个隐私问题,许多用户选择阻止此类cookie.

@EliTheHuman-不，没有。当您包含来自另一个站点的图像或其他内容时，对该图像的请求将直接从用户的Web浏览器转到该另一个站点，以便该站点可以向该浏览器发送cookie。为防止这种情况，您必须下载图像并上传到自己的站点，或者代理对图像的请求。（也就是说，您可以设置自己的站点，浏览器将请求发送到该站点，然后在服务器上将请求发送到另一个站点，然后将结果响应传递回浏览器，而无需任何Cookie。） (2认同)

Answer 4

如果第三方 cookie 未被用户阻止，则大多数现代浏览器将在向第三方网站发出请求时设置或发送第三方域的 cookie。IE 6 有一种不同的阻塞机制，称为 leashing。wiki： leashed cookie 是第三方 cookie，只有在通过同一第一方访问第三方文档时，浏览器才会发送。