假设有一个站点 foo.com 从站点 bar.com 加载 JavaScript。现在，假设来自站点 bar.com 的 JavaScript 尝试使用 document.cookies 读取 cookie。我的印象是，使用 JavaScript，您可以读取浏览器中设置的所有 cookie，无论其来源如何。但事实证明，来自站点 bar.com 的 JavaScript 只能访问由 bar.com 设置的 cookie，而不能访问其他任何 cookie。如果是这样，窃取cookies的脚本注入攻击是如何进行的？
【问题讨论】：
标签： javascript cookies cross-domain
但事实证明，来自 bar.com 站点的 JavaScript 只能访问 bar.com 设置的 cookie，而不能访问其他任何 cookie。
这不是真的。重要的是包含<script> 元素的HTML 文档在哪里，而不是<script> 在src 属性中提到的JS 文件的URL。
我怀疑您的问题是当属性被称为document.cookie 时您正在访问document.cookies（单数！）
【讨论】：
http://ajax.googleapis.com/ajax/libs/jquery/1.3.2/jquery.min.js 不在域 stackoverflow.com 上。
他们在被攻击的页面内部加载脚本。
例如，当博客系统中的 cmets 受到攻击时，它们会包含一个 script 元素，该元素会在页面呈现时执行。该脚本可以获取cookie并将其发送到攻击者的服务器。
这就是为什么您应该从不信任用户输入并在 cmets 中至少禁止某些标签（或将每个 &lt; 转换为 &lt;）。但是不要在客户端这样做，因为这种预防技术很容易被规避；在服务器端测试（并更改）恶意输入。
【讨论】：
您只能访问已为给定域名设置的 cookie。来自Wikipedia article on cookies：
除了名称/值对之外，还有一个 cookie 还可能包含到期日期、 路径、域名以及是否 cookie 仅用于加密 连接。 RFC 2965 要求使用 cookie 有一个版本号，但这是 通常省略。这些数据 遵循 name=newvalue 对并且是 用分号隔开。例如， 服务器可以创建一个cookie 通过发送一行 Set-Cookie： 名称=新值；过期=日期；路径=/; 域=.example.org。
域名和 path 告诉浏览器 cookie 必须在何时发送回服务器 请求给定域的 URL 和 小路。如果未指定，则默认为 到对象的域和路径 这是要求的。结果， 域和路径字符串可能会告诉 浏览器发送cookie时 通常不会。为了安全 原因，cookie 仅被接受 如果服务器是 域字符串指定的域。
如果foo.com 发送了一个域名为bar.com 甚至.com 的cookie，那么bar.com 上的JavaSCript 代码可以读取该cookie。然而，大多数浏览器被配置为仅在域名匹配时接受 cookie，并且会拒绝这样的 cookie。
【讨论】：