关于跨域的一些实验结论
最近要做开发一个SSO框架，中间涉及到跨域设置cookie的问题，顺便对一些知识点进行了实验和确认。本来这都是一些基本的知识点，可是发现网上很多资料杂乱无章而且错误百出，有的错误文章竟然被转来转去，搞的我越看越糊涂。干脆做个实验来逐个测试我自己提出的问题。
第一个：cookie的setDomain属性到底能不能设置成当前应用程序所在的域之外的域名。比如我当前应用的域名是：www.test1.com，那么我在当前的应用里设置cookie的Domain为".test2.com"，会有什么效果？浏览器会不会接受服务器返回来的cookie？假如浏览器真的接受了服务端返回的cookie,那么浏览器下次真的访问www.test2.com时到底会不会把之前的cookie给带上？
现在我写了两个web程序，每个web程序都有一个servlet，同时修改host文件，第一个应用的域名是：www.test1.com，第二个域名是：www.test2.com。并且使用火狐狸和IE10来做测试，测试过程如下：
1）首先在www.test1.com的程序中设置cookie的domain为“.test2.com”，访问该应用，在这种情况下IE和火狐狸的浏览器都会接受cookie，而且其Domain很明确是.test2.com，这里就说明cookie是可以写到浏览器里的，而不是很多地方说的被忽略云云。但是如果再次访问的时候，无论是访问www.test1.com或者是www.test2.com都不会把这个cookie带过去。这就验证了cookiede setDomain这个方法是不能设置当前应用所在域之外的域名的，之前看到很多文章说的结论是在www.test1.com的应用中设置cookie的domain为www.test2.com，则访问www.test2.com时就能在test2.com的应用中取到该cookie，这完全是不负责任的扯淡,那种情形只适合共同根域名的情况。辩证想一想都不可能，否则我就能操纵百度或者阿里的网站来读取我们自己定义的cookie？
2）现在我们设置www.test1.com的域名为自己，那么如果我们在www.test1.com的网页中使用Iframe嵌入www.test2.com的应用，那么会是什么结果？
首先我们访问了www.test1.com，这个时候www.test1.com和www.test2.com的cookie都写到浏览器里了，无论是在IE还是在火狐狸里都是如此，那么再次访问www.test1.com的时候，IE和火狐狸这个时候不同的地方就显示出来了。这个时候IE只会把www.test1.com的cookie带上，而不会带www.test2.com的cookie的（也就是说在www.test2.com的应用里是拿不到cookie的），而且这个时候你再次专门访问www.test2.com也不会拿到之前明明已经写入到浏览器里www.test2.com域名下的cookie。而如果在火狐狸里，则www.test1.com的应用中会取到www.test1.com的cookie，而且无论是iframe内嵌或者直接访问www.test2.com的应用里都会拿到自己域名下的cookie。这种情况使用<img>和<script>标签获取cookie是一样的道理。这样看来IE10的安全级别更高。
3）如果我们非要www.test1.com中利用iframe内嵌www.test2.com的方式来将test2.com域名下的cookie带过去给www.test2.com服务应用，那该怎么办？
这个非常简单，设置www.test2.com的head，比如response.setHeader设置P3P。关于P3P协议网上资料一大堆，大家可以自己看看。这里要注意，我们在www.test1.com使用iframe嵌入www.test2.com的应用，则www.test1.com设置的cookie就是通常意义的第一方cookie，而www.test2.com的cookie就是常说的第三方cookie，我们要设置P3P是要在第3方的程序中设置，这个很多资料里也没有说明白。其实就是www.test2.com的服务端和浏览器协商，让浏览器允许其携带上cookie给服务端。一旦突破这点，再结合referer首部属性就能获取用户的浏览习惯和喜好，像经常购买书籍、电子产品等。
暂时先写到这里吧，这个问题也是首次稍微深入探索下，后边根据进展再补充吧，如果有错误请读者一定指正不胜感激。总之，这种基础知识是设计框架的基石，必须要搞清楚。否则，寝食难安、芒刺在背。
原文：http://blog.csdn.net/achilles12345/article/details/40820657