go - 我可以为另一个域指定和设置 http-only cookie 吗？

Question

假设我有一个有两个域的服务

app.myapp.com
api.myapp.com

我的应用程序执行整个 OAuth/OpenID 流程。

app.myapp.com/oauth
app.myapp.com/oauth/callback

在/callback我将 设置accessToken为当前域 ( app.myapp.com) 上的仅 http cookie。

我有各种各样的微服务api.myapp.com，所有这些都需要一个accessToken才能工作。

在/callbackOAuth 流程阶段，我可以在我的 http-only cookie 中指定其他域吗？

我正在使用 Go + Gin

c.SetCookie(
    "accessToken", 
    accessToken, 
    3600, 
    "/", 
    "", 
    false, 
    true,
)

Answer 1

这得看情况。一般来说，不，您不能为不同的域设置 cookie。

但是您可以通过设置 cookie 的 Domain 属性为您“控制”的域的所有子域设置 cookie（详细信息请阅读 RFC 6265 和 publicsuffix.org）。