最近在做一個流量統計的東西的時候，偶然發現IE在對iframe裡面的頁面寫Cookie的時候有一些安全限制，導致讀取Cookie不成功，找了好長時間的解決辦法，重要找到如下的辦法：

1.頁面裡的COOKIE不能是瀏覽器程序的COOKIE(包括驗證票和不設定超時時間的COOKIE),否則跨域會取不到.這點做跨域COOKIE的人比較少提到.不過實際上留意下幾家大學做的方案,有細微的提到他們的驗證模組裡的COOKIE是有設定超時時間的.

2.當利用IFRAME時,記得要在相應的動態頁的頁頭新增一下P3P的資訊,否則IE會自覺的把IFRAME框裡的COOKIE給阻止掉,產生問題.本身不儲存自然就取不到了.這個其實是FRAMESET和COOKIE的問題,用FRAME或者IFRAME都會遇到.

3.測試時輸出TRACE,會減少很多測試的工作量.

只需要設定 P3P HTTP Header，在隱含 iframe 裡面跨域設定 cookie 就可以成功。他們所用的內容是：

P3P: CP='CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR'

ASP直接在頭部加了頭部申明，測試有效。
<%Response.AddHeader "P3P", "CP=CAO PSA OUR"%>

php的話，應該是如下寫法：
header('P3P: CP=CAO PSA OUR');

ASP.NET的話
通過在程式碼上加Response.AddHeader("P3P", "CP=CAO PSA OUR")或者在Window服務中將ASP.NET State Service 啟動。

JSP:
response.setHeader("P3P","CP=CAO PSA OUR")

You can add a P3P compact policy header to your child content, and you can declare that no malicious actions are performed with the data of the user. If Internet Explorer detects a satisfactory policy, then Internet Explorer permits the cookie to be set.

Visit the following MSDN Web site for a complete list of satisfactory and unsatisfactory policy codes:

Privacy in Internet Explorer 6
(http://msdn.microsoft.com/workshop/security/privacy/overview/privacyie6.asp)

P3P: CP="CAO PSA OUR"
				

This code sample shows that your site provides you access to your own contact information (CAO), that any analyzed data is only "pseudo-analyzed", which means that the data is connected to your online persona and not to your physical identity (PSA), and that your data is not supplied to any outside agencies for those agencies to use (OUR).

You can set this header if you use the Response.AddHeader method in an ASP page. In ASP.NET, you can use the Response.AppendHeader method. You can use the IIS Management Snap-In (inetmgr) to add to a static file.

Follow these steps to add this header to a static file:

1. Click Start, click Run, and then type inetmgr.
2. In the left navigation page, click the appropriate file or directory in your Web site to which you want to add the header, right-click the file, and then click Properties.
3. Click the HTTP Headers tab.
4. In the Custom HTTP Headers group box, click Add.
5. Type P3P for the header name, and then for the compact policy string, type CP=..., where "..." is the appropriate code for your compact policy.

Alternatively, Internet Explorer users can modify their privacy settings so that they are prompted to accept third party content. The following steps show how to modify the privacy settings:

1. Run Internet Explorer.
2. Click Tools, and then click Internet Options.
3. Click the Privacy tab, and then click Advanced.
4. Click to select the Override automatic cookie handling check box.
5. To allow ASP and ASP.NET session cookies to be set, click to select the Always allow session cookies check box.
6. To receive a prompt for any type of third party cookie, click Prompt in the Third-party Cookies list.

一、起因

信通寶在客戶網站上浮動視窗的實現是通過在客戶的網站上加上一段連結指令碼，指令碼在客戶網站上寫入一IFrame，此Iframe中的內容src=""是指向信通寶網站，如src="www.xtb.com/script.js"。 信通寶的功能需求中有一項是要求記錄使用者訪問此網站的次數的，這就要求必須在訪客的電腦中儲存cookie才能實現。但是在IE6中，Frame和 IFrame中無法按常規方法來讀寫cookies。因為IE6加入了以PlatformforPrivacyPreferences（P3P）為基礎的 隱私保護功能，有關此功能的說明請參閱“”

文章出處：http://hi.baidu.com/wuchangx
email:[email protected]

IE6中的隱私保護設定：
在“工具”選單下選擇“Internet選項”。點選“隱私”標籤。IE 6的預設隱私等級設定為“中”——即“阻止沒有合同隱私策略的第三方cookie；阻止使用個人可標識資訊而沒有您的隱含許可的第三方cookie；限制使用個人可標識資訊而沒有隱含許可的第一方cookie”。見下圖：

在ie6中Cookie被分成了first party cookie和third party cookie，即第一方Cookie和第三方Cookie，所謂的第三方Cookie是指在Frame或者Iframe中巢狀頁面的Cookie。舉例來 說，ABC公司購買了我們的信通寶產品，並在其公司網站www.abc.com上加上了信通寶的連結指令碼(www.xtb.com/test.js)，這個指令碼在abc公司的網站上加上一個IFrame，此Iframe的內容為xtb.com上的某個頁面如(www.xtb.com/List.aspx?cid=1234)，而這個List.aspx頁面需要在讀寫cookie以便記錄訪客的次數等資訊。當訪客在訪問ABC公司的網站時，www.abc.com即為第一方站點，信通寶視為第三方站點，當List.aspx試圖讀寫cookie時，IE6就會自動攔截（在狀態列下顯示紅色禁止圖示），可以通過檢視得到類似如下圖的隱私報告：

以下是凌風現在使用的解決方法：
----------------------------------------------------
凌風(33446***) 09:28:58
信通寶程式碼在平臺中可用部分之一：
//新增P3P到HTTP頭輸出流，用於解決IFrame下不能設定cookie的問題
Response.AddHeader("P3P", "CP=CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR");
凌風(3344***) 09:31:16
在IE下是不能在IFrame中設定cookie的，在FF下可以，但將以上程式碼拷貝到Page_Load中，即可解決該問題。  
---------------------------------------
此方法應用在信通寶第2版中，並通過測試。

二、P3P

什麼是P3P？
P3P是全球資訊網聯盟（W3C）公佈的一項隱私保護推薦標準，旨在為網上衝浪的Internet使用者提供隱私保護。現在有越來越多的網站在消費者訪問時，都 會收集一些使用者資訊。制定P3P標準的出發點就是為了減輕消費者因網站收集個人資訊所引發的對於隱私權可能受到侵犯的憂慮。P3P標準的構想是：Web 站點的隱私策略應該告之訪問者該站點所收集的資訊型別、資訊將提供給哪些人、資訊將被保留多少時間及其使用資訊的方式，如站點應做諸如 “本網站將監測您所訪問的頁面以提高站點的使用率”或“本網站將盡可能為您提供更合適的廣告”等申明。訪問支援P3P網站的使用者有權檢視站點隱私報告，然 後決定是否接受cookie或是否使用該網站。

三、相關技術文章

1. Help! IE6 Is Blocking My Cookies[1]，[2]
   a).What is P3P?
   b).Why Does IE6 Block My Cookies?
   c).What are Third-Party Cookies?
   e).How Can I Prevent IE6 from Blocking My Cookies?
   f).How Do I P3P Enable My Web Site and Use Compact Policies?
   g).I P3P-Enabled My Site, But My Cookies are Still Being Blocked by IE6
   h).My Cookies aren't being Blocked, But Users are Not Able to View an i).IE6 Privacy Report for My Site

四、“官方”的解決方法

看完了第三節的文章你會發現，所謂P3P策略實際就是一個部署在Web伺服器上的簡單XML檔案，指明網站打算使用哪些cookie以及派什麼用途。這個XML檔案類似這種格式
<META xmlns="http://www.w3.org/2000/12/P3Pv1">
<POLICY-REFERENCES>
      <POLICY-REF about="/P3P/Policy1.xml">
          <COOKIE-INCLUDE
              name="*"
              value="*"
              domain="*"
              path="*"/>
      </POLICY-REF>
</POLICY-REFERENCES>
</META>
可以使用IBM的P3P策略編輯器IBM's P3P Policy Editor來編寫這個檔案。

三種部署方式:

1. Well-Know location
   /w3c/p3p.xml
   將P3P Reference File檔案更名為p3p.xml,並放置在/w3c目錄當中
2. HTTP 頭
   P3P:policyref="http://www.mysite.com/w3c/p3p.xml" CP="ALL DSP COR NID CUR OUR IND PUR"
   CP是由3字元程式碼組成的列表（相關資訊已經在W3C網站上進行了說明）。在上例中，該網站不定期地（INDefinite）為OUR公司收集購買商品項 目（PURchasing）或完成當前活動（CURrent）的有關資料。有疑問（DiSPutes）、不可識別（Nonidentifiable）的數 據作為cookie儲存（NID）。由於我們的網站以cookie的方式儲存客戶號，所以NID應該從列表中刪除。
   CP應該匹配完整的策略；因此，如果你在CP中使用了NID，那麼你應該在你的策略檔案中包括<nonident/>標籤。為了匹配這些設定 而在下一節介紹的校驗工具會對以上程式碼進行檢查，如果有差異的話，Internet Explorer 6.0瀏覽器也會檢查策略檔案並且令策略檔案無效
   如果是asp/asp.net/jsp/php等動態頁面，也可以新增類似以下程式碼：
   response.setHeader("P3P","policyref="http://www.mysite.com/w3c/p3p.xml" CP="ALL DSP COR CUR OUR IND PUR"");
3. 在HTML內容中嵌入Link標籤
   <link rel="P3Pv1" href="/w3c/p3p.xml"></link>