易栈网-膘叔（Neatstudio.COM）

易栈网-膘叔

IE中iframe跨域丢失Session问题(续 p3p)

cookie，又见cookie

子域和根域同名cookie的处理

关于cookie

彻底杜绝PHP的session cookie错误

IE中iframe跨域丢失Session问题(续 p3p)

cookie，又见cookie

子域和根域同名cookie的处理

关于cookie

彻底杜绝PHP的session cookie错误

日志分类

热门标签

日志归档

搜索文章

最新评论

博客信息

友情链接

浏览模式: 标准 | 列表Tag:cookie

Submitted by gouki on 2010, July 21, 9:43 PM

P3P，不算是新名词，但还是有些人不清楚。事实上我也不清楚。。。在百度上看到有这玩意就备份下来。说真的，我只是知道用，但不知道为什么用。额。。很明显，因为在ucenter同步的时候，在discuz的ui/api里有写过。

看内容吧。。。。

IE6/IE7支持的P3P(Platform for Privacy Preferences Project (P3P) specification)协议默认阻止第三方无隐私安全声明的cookie，Firefox目前还不支持P3P安全特性，firefox中自然也不存在此问题了。

在frameset里面，也就是里面的frame是来自第三方站点(不同IP或不同域名)，那么默认情况下IE会自动禁用这些站点的cookie，也就是在请求某url时在HTTP header里不发送它们的cookie，包括session的cookie。注意，这些站点在response里面设置的cookie还是会被发送到浏览器的。

在用户浏览a.php时 A.com写入的为第一方Cookie,其嵌入的iframe指向 b.php.这时B.com写入的就为第三方Cookie了，所以它是被IE当在了大门外。所以,每次当用户提交的cookie提交时,就挂掉了.因为传不到真实的服务器.

解决方案.

PHP的程序,可以直接在B网站中写入

PHP代码

<?php
header('P3P: CP="CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR"');
?>

这样就能接受第三方的Cookie啦。

lighttpd的服务器

XML/HTML代码

server.modules = ("mod_setenv")

setenv.add-response-header = ( "P3P" => "CP='CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR'")

apache的服务器

XML/HTML代码

<VirtualHost>
Header set P3P 'CP="CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR"'
</VirtualHost>

IIS的服务器

增加一个网站http头来解决问题；
管理工具——〉选择一个网站——〉属性——〉 http头，增加一个http头
然后输入头名：P3P
输入头内容：CP=CAO PSA OUR

jsp页面：

XML/HTML代码

<%
response.setHeader("P3P","CP=CAO PSA OUR");
%>

java代码最简单的办法，增加一个filte:

Java代码

public class TransNameFilter extends HttpServlet implements Filter {
private static org.apache.commons.logging.Log logWriter =
LogFactory.getLog(TransNameFilter.class.getName());
/**
*
*/
public TransNameFilter() {
super();
}
/* （非 Javadoc）
* @see javax.servlet.Filter#init(javax.servlet.FilterConfig)
*/
public void init(FilterConfig arg0) throws ServletException {
}
/* （非 Javadoc）
* @see javax.servlet.Filter#doFilter(javax.servlet.ServletRequest, javax.servlet.ServletResponse, javax.servlet.FilterChain)
*/
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
throws IOException, ServletException {
HttpServletRequest hreq = (HttpServletRequest) request;
String transName = hreq.getParameter("transName");
if (Util.isNullOrEmpty(transName)) {
logWriter.fatal(" there is no transName for this request");
} else {
logWriter.info(" transName is " + transName);
}
HttpServletResponse res = (HttpServletResponse) response;
//iframe引起的内部cookie丢失
res.setHeader("P3P","CP=CAO PSA OUR");
if (chain != null)
chain.doFilter(request, response);
}
/* （非 Javadoc）
* @see javax.servlet.Filter#destroy()
*/
public void destroy() {
}
}

Tags: session, cookie, p3p

PHP | 评论:0 | 阅读:28259

Submitted by gouki on 2010, July 19, 2:06 PM

提起这个问题，很沉重。在cookie上我遇到很多很多奇怪的问题了（其实只是看起来奇怪而已）

一一列一下吧
1、页面是200状态，就是打不开。一直显示正在打开。但其他页面正常（首页并无其他特别的长耗时的代码）
2、页面显示XXX错误（不记得代码是多少了。。以前在做测试的时候遇到过）
3、cookie明明注册了。但却总是无效。

一一列解吧。
1、cookie数过多了，事实上，我没有设很多的cookie，只是，我在访问的时候，很多其他链接也帮我带上了cookie，导致在我这个域名根下，cookie数量过多。
在Cookie常识一文中我转载过DBA notes里的几句话：Cookie 是个很有趣的话题。根据 RFC 2109 的描述，每个客户端最多保持 300 个 Cookie，针对每个域名最多 20 个 Cookie (实际上多数浏览器现在都比这个多，比如 Firefox 是 50 个) ，每个 Cookie 最多 4K，注意这里的 4K 根据不同的浏览器可能不是严格的 4096 。别扯远了，对于 Cookie 最重要的就是，尽量控制 Cookie 的大小，不要塞入一些无用的信息。
解决方法：清空cookie或者删除非本站cookie
2、cookie长度超出限制了。当时是在apache的服务器下，我用的是firefox，出错情况是提示cookie超长（错误代码记不清，最后是清空cookie解决）
这里也有一位朋友有类似情况：Cookie 太大导致页面无应答的问题，这是他的总结：

好像在IIS6下特定环境下就会出现这个问题，因为当时整个项目有10多台Web服务器做了F5，但只有2台出现这个问题。针对这个问题，我在 IIS7下也进行了一下测试，发现当Cookie的大小达到30000多字节时，就会出现有应答为200的包，但应答的内容为空，在IE上显示为“ Internet Explorer cannot display the webpage ”，所以具体能使用cookie有多大，IIS6和IIS7下标准不一。
建议不要将用户配置等过大的信息写入cookie，搞不清楚什么时候IIS就出错了

3、检查一下服务器时间与本地时间是否一致。对于PHP5，有的人总是忽略了时差。检查一下吧。

最后：
1、对多窗口浏览器，其实很郁闷的，你设置的cookie如果是没有过期时间，即关闭窗口即自动删除时，如果不关闭整个浏览器，而关闭当前tab，那么，是无法删除的
2、对于swfupload，IE和FF下面会有不同的情况，传说中flash读的cookie是IE生成的，因此很多时间如果swfupload涉及到了用户登录情况时，总会不正常（后台在上传），记得把param中加个session_id的参数，POST过去。

BTW:这个，我真的很郁闷。有时候我的网站首页会无法打开，为什么呢？因为sablog(或者是我做的hacker)中生成了两个PHPSESSION的cookie，一个所属neatstudio.com，而另一个是.neatstudio.com，结果就导致了页面无法打开（看来，以后还是需要打开neatstudio.com后自动跳转到www.neatstudio.com才比较好，这样就不会出现类似的问题了。懒得改代码了。等 Session消失后就OK了。是不是太不注意用户体验了？）

Tags: cookie

PHP | 评论:0 | 阅读:18427

Submitted by gouki on 2010, June 25, 8:37 PM

PHP处理COOKIE是一件很方便的事情。print_r（$_COOKIE）就可以打印所有的cookie变量。而且cookie也能够存为数组。确实操作和应用都非常方便。

以前，对于子域和根域下的cookie并没有研究太深。因为都直接设在根域的。以前注意cookie是路径（path），这个的影响也是有的。不过现在大多数程序的cookie都是设在根路径（“/”）下，所以也回避了不少问题。

以下是老王提出的问题和解决方法（子域和根域同名cookie的处理），引伸开的话，你也可以测试一下，根路径与子路径下同名cookie的情况。【果然，老王文章结尾就是这样的提问，呵呵】

我们都知道，在子域下请求时，浏览器会把子域和根域下的Cookie一起发送到服务器，那如果子域和根域下有一个同名Cookie，当我们在PHP里使用$_COOKIE访问时，到底生效的是哪个呢？下面做试验测试一下，测试使用Firefox，用到了以下插件：SwitchHosts+WebDeveloper+Firebug。

注意：试验结果可能因为浏览器的不同而存在差异。

首先通过SwitchHosts设定虚拟域名：www.foo.com，并且配置好Web服务器，当然，你手动设置Hosts文件也可以，我本意是为了多介绍几个工具。

然后编写设置Cookie的PHP脚本，先设置子域，再设置根域：

PHP代码

<?php
setcookie("bar", "www", time() + 10, "/", "www.foo.com");
setcookie("bar", "foo", time() + 10, "/", ".foo.com");
?>

再编写浏览Cookie的脚本：

PHP代码

<?php
var_dump($_COOKIE);
?>

BTW：最初写脚本的时候我竟然在setcookie前使用了var_dump，也就是在发送请求头之前有了输出，犯了这样的初学者错误实在是罪过，可更令人惊讶的是脚本没有报错，查了半天原来是因为php.ini里缺省output_buffering = 4096。

先设置再浏览，就能看到结果了，结果显示有效的是子域下的Cookie。

重开一个浏览器窗口，并使用WebDeveloper删除Cookie，或手动删除，避免对结果造成影响。

然后调换两次调用setcookie的顺序，也就是先设置根域，再设置子域：

PHP代码

<?php
setcookie("bar", "foo", time() + 10, "/", ".foo.com");
setcookie("bar", "www", time() + 10, "/", "www.foo.com");
?>

先设置再浏览，就能看到结果了，结果显示有效的是根域下的Cookie。

重复两次测试过程，并用Firebug记录下请求头的差异：

第一次先设置子域，再设置根域：请求头Cookie的值是bar=www;bar=foo，结果有效的是bar=www
第二次先设置根域，再设置子域：请求头Cookie的值是bar=foo;bar=www，结果有效的是

bar=foo



也就说，同名Cookie对于服务端PHP来说，在请求头Cookie中，哪个在前哪个生效，后面的会被忽略。



如果使用的不是Firefox，那就用不了Firebug，此时可以用PHP代码来检测Cookie头：

PHP代码

    if (isset($_SERVER['HTTP_COOKIE'])) var_dump($_SERVER['HTTP_COOKIE']);  




以上的实验结论是基于Firefox而言的，由于不同的浏览器发送Cookie的策略可能有差异，所以在其他浏览器上结果可能会有所不同，比如在 Safari下就始终是子域有效，其他浏览器如Opera，Chrome等未仔细测试。鉴于这个混乱的结论，所以还是不要在子域和根域下使用同名 Cookie为好！



题外话：类似的情况，如子目录和根

目录下的同名Cookie是什么情况，读者可以自行测试。

--EOF--

原文来自：http://hi.baidu.com/thinkinginlamp/blog/item/899551dacd807ad6b6fd48cd.html

Tags: cookie, 老王, 子域, 根域

PHP | 评论:0 | 阅读:27355

Submitted by gouki on 2009, June 16, 9:17 PM

其实关于cookie这个东西，我在以前的文章里也讨论了很多。有 “同名Cookie”的分析研究，也有[转]PHP删除cookie的一个小秘密，对于Cookie常识我也进行了介绍，但今天我再说一点点coookie的注意事项。

1、cookie一般在当前页面不生效
在当前页setcookie后，在当前页print_r($_COOKIE)，我依稀记得，是不会有该cookie值的，所以一些cookie类都是先setcookie，然后再$_COOKIE设置一下变量，这样，该COOKIE在当前页就直接可以被使用。

2、cookie的过期
cookie设置为浏览器进程的时候，关闭浏览器就会自动注销。然而，这都是以前的作法，自从畅游的myie开始，浏览器有了TAB之后，这一招就不太实用了。关闭tab和关闭浏览器是两个动作。当你关闭tab的时候，其实cookie并没有清掉。所以当你发现设置为关闭浏览器清空cookie时，cookie没有被清除，请先看看是否你使用了多窗口浏览器

3、cookie的路径。
这个东西嘛。。。可说的太多了，只说一点简单的。那就是：不同路径下可以存在同名cookie，设置cookie的时候，一般都是从该域名的根下面进行设置，即cookiepath="/"，这样全站都可以用，而不是某一路径。当你发现cookie值很妖的时候，请检查你设置cookie的代码

over

【2010-03-02】修正链接的BUG。。。居然写的是后台的地址，真挫啊我

Tags: php, cookie

PHP | 评论:0 | 阅读:19709

Submitted by gouki on 2009, May 26, 10:55 PM

这种方式有点另类，但确实是一种解决的方案之一。而且ob的方式还可以用来开启gzip。呵呵

原文地址：http://www.cnblogs.com/webnet/archive/2009/05/22/1486939.html
内容：

本文讨论的是如何彻底杜绝warning: Cannot add header information - headers already sent in...... 这种令人莫明其妙的的错误。

只要你写过PHP代码,相信都遇上过这个大多时候都令人莫明其妙的warning吧..今天我们就来搞定它...............

看了PHP手册，回答如下：

消息“Warning： Cannot send session cookie - headers already sent。。。”或者“Cannot add header information - headers already sent。。。”。

函数 header()，setcookie() 和 session 函数需要在输出流中增加头信息。但是头信息只能在其它任何输出内容之前发送。在使用这些函数前不能有任何（如 HTML）的输出。函数 headers_sent() 能够检查您的脚本是否已经发送了头信息。请参阅“输出控制函数”。

意思是：不要在使用上面的函数前有任何文字，空行，回车，空格等。但。。。问题是，这答案并不令人满意。因为往往程序在其他PHP环境下运行却正常。

首先：这错误是怎么产生的呢？让我们来看看PHP是如何处理HTTP header输出和主体输出的。

PHP脚本开始执行时，它可以同时发送header(标题)信息和主体信息。 Header信息(来自 header() 或 SetCookie() 函数)并不会立即发送，相反，它被保存到一个列表中。这样就可以允许你修改标题信息，包括缺省的标题(例如 Content-Type 标题）。但是，一旦脚本发送了任何非标题的输出（例如，使用 HTML 或 print() 调用)，那么PHP就必须先发送完所有的Header，然后终止 HTTP header。而后继续发送主体数据。从这时开始，任何添加或修改Header信息的试图都是不允许的，并会发送上述的错误消息之一。

好!那我们来解决它：

笨方法：把错误警告全不显示!
掩耳盗铃之计，具体方法就不说了 ^_^#

解决方案：

1)适用于有权限编辑PHP。INI的人

打开php。ini文件(你应试比我清楚你的php。ini在哪里)，找到

output_buffering =改为on或者任何数字。如果是IIS6，请一定改为ON，不然你的PHP效率会奇慢。

2)使用虚拟主机，不能编辑PHP。INI，怎么办？

简单：

在你的空间根目录下建立一个。htaccess文件，内容如下：

AllowOverride All
PHP_FLAG output_buffering On

不幸的情况是：还是不行？全部网页都不能显示啦？

那么，你可以打电话骂一通空间商，然后让他给你把apache的。htaccess AllowOverride打开

3)在PHP文件里解决

ob_start()
启用output buffering机制。 Output buffering支持多层次 -- 例如，可以多次调用 ob_start() 函数。

ob_end_flush()
发送output buffer（输出缓冲）并禁用output buffering机制。

ob_end_clean()
清除output buffer但不发送，并禁用output buffering。

ob_get_contents()
将当前的output buffer返回成一个字符串。允许你处理脚本发出的任何输出。

原理：

output_buffering被启用时，在脚本发送输出时，PHP并不发送HTTP header。相反，它将此输出通过管道（pipe）输入到动态增加的缓存中（只能在PHP 4。0中使用，它具有中央化的输出机制）。你仍然可以修改/添加header，或者设置cookie，因为header实际上并没有发送。当全部脚本终止时，PHP将自动发送HTTP header到浏览器，然后再发送输出缓冲中的内容。

Tags: session, cookie

PHP | 评论:0 | 阅读:17430

Records:912 ›

« 2024年04月 »