Cookies 和 iframes，如何处理它们？

Question

前几天我发现 iexplorer 不接受来自 iframe 的 cookie，除非 iframe 提供 P3P 授权。起初，我就像“WTF？”，但今天我想知道可能发生的坏事。

例如，我有一个名为herp.com 的网站，您可以在其中删除带有http://herp.com/product/111/delete 的产品（我知道这是一种不好的做法，GET 应该是无能的）。然后恶意网站管理员在http://derp.com 中创建了一个带有iframe 到http://herp.com/product/111/delete 的网站，所以...如果我作为herp.com 中的登录用户，用我的浏览器打开derp.com... 我会删除产品111 ?

我还应该害怕哪些问题？

提前致谢。

Answer 1

您应该更害怕您的 http GET 导致删除。您描述的场景与在页面上从derp.com 到herp.com/product/111/delete 的重定向没有太大区别。在任何一种情况下，用户都会在不知不觉中加载 herp.com，并且浏览器会自动为该站点提供任何 cookie。