security - nginx 中的子域 cookie 共享

Question

我有服务器，运行一些站点。例如：example.com a.example.com b.example.com 所有站点都通过 nginx 路由到 unix 域套接字。每个站点都是 gunicorn 实例。

来自子域的应用程序可以从 example.com 或其他子域读取/写入 cookie 数据吗？如果是，如何禁用它？

Answer 1

当然，您可以为子域使用单独的 cookie。Cookie 标准允许您设置域，这将是浏览器将 cookie 发送回的唯一域。您可以将“a.example.com”设置为域，浏览器只会将来自该域的 cookie 发送回该域。

根据我对RFC 2965的 cookie 的阅读，“a.example.com”无法为“b.example.com”设置 cookie，只能为“example.com”设置 cookie。

我认为底线是确保您正在使用 cookie 的“域”属性为子域设置 cookie，而不仅仅是“example.com”，所有子域都可以读取和写入。