手机浏览 RSS 2.0 订阅 膘叔的简单人生 , 腾讯云RDS购买 | 超便宜的Vultr , 注册 | 登陆
浏览模式: 标准 | 列表Tag:session

IE中iframe跨域丢失Session问题(续 p3p)

Submitted by gouki on 2010, July 21, 9:43 PM

P3P，不算是新名词，但还是有些人不清楚。事实上我也不清楚。。。在百度上看到有这玩意就备份下来。说真的，我只是知道用，但不知道为什么用。额。。很明显，因为在ucenter同步的时候，在discuz的ui/api里有写过。

看内容吧。。。。

IE6/IE7支持的P3P(Platform for Privacy Preferences Project (P3P) specification)协议默认阻止第三方无隐私安全声明的cookie，Firefox目前还不支持P3P安全特性，firefox中自然也不存 在此问题了。

在frameset里面，也就是里面的frame是来自第三方站点(不同IP或不同域名)，那么默认情况下IE会自动禁用这些站点的cookie， 也就是在请求某url时在HTTP header里不发送它们的cookie，包括session的cookie。注意，这些站点在response里面设置的cookie还是会被发送到浏 览器的。

在用户浏览a.php时 A.com写入的为第一方Cookie,其嵌入的iframe指向 b.php.这时B.com写入的就为第三方Cookie了，所以它是被IE当在了大门外。 所以,每次当用户提交的cookie提交时,就挂掉了.因为传不到真实的服务器.

解决方案.

PHP的程序,可以直接在B网站中写入www.kobsky.cn 小眼世界ýñ ëÕRÏz-Z

PHP代码
  1. <?php  
  2. header('P3P: CP="CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR"');  
  3. ?>  
这样就能接受第三方的Cookie啦。

 

lighttpd的服务器

XML/HTML代码
  1. server.modules    = ("mod_setenv")  
  2. setenv.add-response-header = ( "P3P" => "CP='CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR'")  
apache的服务器

XML/HTML代码
  1. <VirtualHost>  
  2. Header set P3P 'CP="CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR"'  
  3. </VirtualHost>  
IIS的服务器www.kobsky.cn 小眼世界ýñ ëÕRÏz-Z

增加一个网站http头来解决问题；www.kobsky.cn 小眼世界ýñ ëÕRÏz-Z
管理工具——〉选择一个网站——〉属性——〉 http头，增加一个http头www.kobsky.cn 小眼世界ýñ ëÕRÏz-Z
然后输入头名：P3Pwww.kobsky.cn 小眼世界ýñ ëÕRÏz-Z
输入头内容：CP=CAO PSA OUR

jsp页面：

XML/HTML代码
  1. <%  
  2. response.setHeader("P3P","CP=CAO PSA OUR");  
  3. %>  
java代码最简单的办法，增加一个filte:
Java代码
  1. public class TransNameFilter extends HttpServlet implements Filter {  
  2. private static org.apache.commons.logging.Log logWriter =  
  3.    LogFactory.getLog(TransNameFilter.class.getName());  
  4.   
  5. /** 
  6. * 
  7. */  
  8. public TransNameFilter() {  
  9.    super();  
  10.   
  11. }  
  12. /* （非 Javadoc） 
  13.    * @see javax.servlet.Filter#init(javax.servlet.FilterConfig) 
  14.    */  
  15. public void init(FilterConfig arg0) throws ServletException {  
  16.   
  17. }  
  18.   
  19. /* （非 Javadoc） 
  20. * @see javax.servlet.Filter#doFilter(javax.servlet.ServletRequest, javax.servlet.ServletResponse, javax.servlet.FilterChain) 
  21. */  
  22. public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)  
  23.    throws IOException, ServletException {  
  24.   
  25.    HttpServletRequest hreq = (HttpServletRequest) request;  
  26.    String transName = hreq.getParameter("transName");  
  27.    if (Util.isNullOrEmpty(transName)) {  
  28.     logWriter.fatal(" there is no transName for this request");  
  29.    } else {  
  30.   
  31.     logWriter.info(" transName is " + transName);  
  32.    }  
  33.     
  34.    HttpServletResponse res = (HttpServletResponse) response;  
  35.         //iframe引起的内部cookie丢失  
  36.    res.setHeader("P3P","CP=CAO PSA OUR");  
  37.    if (chain != null)  
  38.     chain.doFilter(request, response);  
  39.   
  40. }  
  41.   
  42. /* （非 Javadoc） 
  43.    * @see javax.servlet.Filter#destroy() 
  44.    */  
  45. public void destroy() {  
  46.   
  47. }  
  48.   
  49. }  

Tags: session, cookie, p3p

PHP | 评论:0 | 阅读:28271

诡异的【session丢失】和无语的【<img src="">标签】

Submitted by gouki on 2009, June 13, 12:29 AM

以下发生的内容，本人没有遇到过，但既然有相应的例子，我想，或许还是会有人遇到同样的问题吧？
记录一下，如果有类似的问题，也许就是解决方法。解决方法不在原文中，是在回复中的。我也会一并贴上来
原文如下：

http://www.cnblogs.com/kyneblog/archive/2009/06/11/1500999.html
  1. 今天算是长见识了，项目发布到服务器上面了，但是客户在使用的时候发现，只要进入新增页面和修改页面。再进行操作就会自动跳转到登陆页面（我设置了 session保存用户登陆信息），而别的页面就不会出现这个问题。从下午开始找个问题，开始以为不知道只有这两个页面有问题，以为全部都是这样的问题，是IIS的设置问题。我将session的超时时间设置了3个小时，发现还是会跳转到登陆页面。也在web.config文件里面设置了超时时间。但是效果还是一样的。自己测试了一下午，发现只有新增页面和修改页面会出现这样的问题（本机测试没问题/测试服务器上测试也没问题）。经过几次实验，发现确实只有这两个页面会有问题，那就可以断定：不是IIS设置问题，也不是web.config的问题。本地调试也不出现这样的情况，没办法，只能等客户下班之后，没人用了才到正式服务器上去慢慢的调试，最后想个笨办法，将其中一个页面的.cs文件里面的代码一句一句的删掉，可没想到我都将cs文件里面的代码全部删除了，还是会出现这样的情况，我当时就纳闷了。不是事件的问题，难道是HTML页面出了问题？？？  
  2.   
  3. 既然耐着性子删了cs文件的代码。我就继续删！将aspx页面里面的HTML代码和JS代码也一个一个的删掉，一个一个控件删掉测试，从下午上班一直测试到晚上11点，眼睛都看花了，终于，在我将aspx页面的其中几个控件删除之后发现问题了！页面不跳转了！这下来劲了，肯定是这几个控件的原因，于是乎，我就一个一个控件还原回去，不跳转！继续还原！！当我还原到<img src="" >这个控件的时候测试，发现问题了！只要我一加上<img src="">这个标签！页面就跳转到登陆页面了。问题肯定出在这了！但是我又想不通了，为什么就这个HTML标签一加上就会出问题，这应该不关 session什么事啊，怎么会加上这个标签页面就直接跳转了呢？  
  4.   
  5.  在网上找了下资料，没找到相关的资料，后来试着将img 标签的src=""加上图片，src="imges/001.jpg" 再测试，发现页面不跳转了！！原来问题出现在这里！  
  6.   
  7. "" 为空的情况下，可能导致session丢失！跟经理说了下这个情况，他也很惊奇还没见过一个HTML标签会导致session丢失的情况，因为在本地和测试服务器上测试的时候都没这样的情况，后来猜测了下，可能是IIS的问题，可能是IIS解析的时候解析到src=""这个地方解析不了，导致程序出问题。但这只是个人猜测，正式服务器上我也没权力当时去打补丁，一个大公司的正式服务器，我要打补丁去了，那他们别的网站和系统不全当机了？所以就只要想了个办法，将src=""里面加上图片，幸好这个img标签是隐藏起来的，加了也不影响界面。呵呵。。。  
  8.   
  9. 最让人郁闷的是我测试的时候是用Symantec pcAnywhere这个软件远程连接到的正式服务器上。反应慢得可以，简直比电脑没装显卡驱动还慢...唉，不过累也累了，以后碰到这样的情况就有经验了。  
  10.   
  11. 我不知道网上有没有人碰到过跟我一样的情况；如果碰到了，希望能给你带来点灵感。哇哈哈。。。   

原文并没有解决这个问题，或者说并没有了解到问题出在哪里，虽然是用了一种很恶心的方法解决了它，但并没有发现问题的本质，而本质则由回复发现了，请看第51楼：

XML/HTML代码
  1. 我给楼主分析下  
  2.   
  3. 先说几点结论：  
  4. 1、并不是所有浏览器都会出现这种情况（IE上会出现）。  
  5. 2、要满足特定的条件才会出现这种情况（比如index/default跳转到login.aspx）。  
  6.   
  7. 再说根源:  
  8.   
  9. 根源:在于在IE下当image 标签的src为空时或图片不存在，会请求图片所在目录或根目录。而刚好index/default又跳转到login,而请求login时会清空session.  
  10.   
  11.   
  12. (上述index/default login 为假想,仅供说明用，据实际情况改变也改变)  

75楼说：

XML/HTML代码
  1. 帮你测试过，当<img src="" />时，加载或回调该页面的时候会直接调用该页面所属的目录下的Default.aspx页面  
  2.   
  3. 当目录下没有Default.aspx页面的时候可能会直接导致Session的丢失  

78楼认为：

XML/HTML代码
  1. 我曾经遇到因为<img src="">的情况下，服务器会加载两次页面，后来在网上查到信息关于img 标签中的src为空时，服务器会重新加载页面，这个img标签有时很古怪  

87楼也有同样问题：

XML/HTML代码
  1. 昨天也在為phpbb後臺增加功能時也遇到了類似的問題  
  2. 當src或href屬性為空時，IE和其他瀏覽器表現不一致  
  3. http://soido.org/blog/649  

这里还有一篇针对本文内容的测试：
http://www.cnblogs.com/yjmyzz/archive/2009/06/11/1501654.html
可以看看哦

Tags: session, img

Misc | 评论:0 | 阅读:21232

彻底杜绝PHP的session cookie错误

Submitted by gouki on 2009, May 26, 10:55 PM

这种方式有点另类，但确实是一种解决的方案之一。而且ob的方式还可以用来开启gzip。呵呵

原文地址：http://www.cnblogs.com/webnet/archive/2009/05/22/1486939.html
内容：

本文讨论的是如何彻底杜绝warning: Cannot add header information - headers already sent in......  这种令人莫明其妙的的错误。

只要你写过PHP代码,相信都遇上过这个大多时候都令人莫明其妙的warning吧..今天我们就来搞定它...............

看了PHP手册，回答如下：

消息“Warning： Cannot send session cookie - headers already sent。。。”或者“Cannot add header information - headers already sent。。。”。

函数 header()，setcookie() 和 session 函数需要在输出流中增加头信息。但是头信息只能在其它任何输出内容之前发送。在使用这些函数前不能有任何（如 HTML）的输出。函数 headers_sent() 能够检查您的脚本是否已经发送了头信息。请参阅“输出控制函数”。

意思是：不要在使用上面的函数前有任何文字，空行，回车，空格等。但。。。问题是，这答案并不令人满意。因为往往程序在其他PHP环境下运行却正常。
 

首先：这错误是怎么产生的呢？让我们来看看PHP是如何处理HTTP header输出和主体输出的。

PHP脚本开始执行时，它可以同时发送header(标题)信息和主体信息。 Header信息(来自 header() 或 SetCookie() 函数)并不会立即发送，相反，它被保存到一个列表中。 这样就可以允许你修改标题信息，包括缺省的标题(例如 Content-Type 标题）。但是，一旦脚本发送了任何非标题的输出（例如，使用 HTML 或 print() 调用)，那么PHP就必须先发送完所有的Header，然后终止 HTTP header。而后继续发送主体数据。从这时开始，任何添加或修改Header信息的试图都是不允许的，并会发送上述的错误消息之一。

好!那我们来解决它：

笨方法：把错误警告全不显示!
掩耳盗铃之计，具体方法就不说了 ^_^#

解决方案：

1)适用于有权限编辑PHP。INI的人

打开php。ini文件(你应试比我清楚你的php。ini在哪里)，找到

output_buffering =改为on或者任何数字。如果是IIS6，请一定改为ON，不然你的PHP效率会奇慢。

2)使用虚拟主机，不能编辑PHP。INI，怎么办？

简单：

在你的空间根目录下建立一个。htaccess文件，内容如下：

AllowOverride All
PHP_FLAG output_buffering On

不幸的情况是：还是不行？全部网页都不能显示啦？

那么，你可以打电话骂一通空间商，然后让他给你把apache的。htaccess AllowOverride打开

3)在PHP文件里解决

ob_start()
启用output buffering机制。 Output buffering支持多层次 -- 例如，可以多次调用 ob_start() 函数。

ob_end_flush()
发送output buffer（输出缓冲）并禁用output buffering机制。

ob_end_clean()
清除output buffer但不发送，并禁用output buffering。

ob_get_contents()
将当前的output buffer返回成一个字符串。允许你处理脚本发出的任何输出。

原理：

output_buffering被启用时，在脚本发送输出时，PHP并不发送HTTP header。相反，它将此输出通过管道（pipe）输入到动态增加的缓存中（只能在PHP 4。0中使用，它具有中央化的输出机制）。你仍然可以修改/添加header，或者设置cookie，因为header实际上并没有发送。当全部脚本终止 时，PHP将自动发送HTTP header到浏览器，然后再发送输出缓冲中的内容。

Tags: session, cookie

PHP | 评论:0 | 阅读:17437