主域名子域名因同源策略跨域，如何设置才能共享Cookie？

在现代互联网的宏大架构中，域名的管理策略与浏览器的安全机制共同构成了Web应用运行的基石，理解主域名、子域名以及它们之间复杂的跨域关系，对于开发安全、高效且可扩展的Web服务至关重要，本文将深入剖析这三者的内在联系、面临的挑战及相应的解决方案。

主域名与子域名

主域名，也常被称为根域名或二级域名，是互联网上独一无二的身份标识，example.com，它是整个域名体系的核心,用户通过它来访问一个网站的主页。

子域名则是基于主域名派生出来的分支，它们共享主域名的品牌效应，但在功能上相互独立，通过在主域名前添加不同的前缀，可以创建多个子域名，如 blog.example.com、shop.example.com、api.example.com 等。

这种分层结构带来了极大的灵活性,主要体现在以下几个方面：

• 功能划分：将不同业务模块部署到不同的子域名，使系统架构更清晰，便于独立开发、部署和维护。
• 内容隔离：将博客、商城、论坛等不同类型的内容分离开,避免相互干扰。
• 技术栈选择：不同子域名可以使用不同的后端技术（如Java, Python, Node.js）或部署在不同的服务器上。
• 负载均衡：通过将流量分散到不同子域名对应的不同服务器上,有效分担主站点的访问压力。

尽管子域名从属于主域名，但在浏览器眼中，它们的“身份”是独立的,这一点直接引出了跨域问题。

跨域的本质：同源策略

跨域问题的根源在于浏览器的核心安全策略——同源策略，该策略是浏览器最核心、最基本的安全功能，它规定了一个源（origin）的文档或脚本,不能读取或修改另一个源的资源。

所谓“同源”,指的是三个要素完全相同：

1. 协议（如 https, http）
2. 域名（如 www.example.com）
3. 端口（如 80, 443）

只要三者中任意一个不同，就构成了跨域，从 https://www.example.com:443 向 http://api.example.com 发起请求，就属于跨域,因为协议不同。

主域名、子域名与跨域的关联

关键点在于：子域名与主域名之间，以及不同的子域名之间，默认情况下属于跨域关系。

这是因为它们的“源”不同。

• 主域名：example.com
• 子域名A：app.example.com
• 子域名B：data.example.com

从 app.example.com 页面中的JavaScript脚本直接请求 data.example.com 的API接口，会被浏览器同源策略拦截，因为 app.example.com 和 data.example.com 的域名不完全相同。

这种设计虽然保证了安全性，但在需要共享数据或进行联动操作的场景下，却给开发者带来了挑战，针对这种同根域名的跨域场景,有几种成熟的解决方案。

• CORS（跨域资源共享）：这是目前最主流、最推荐的跨域解决方案，服务器端通过在HTTP响应头中设置特定的字段，Access-Control-Allow-Origin: https://app.example.com，来明确告知浏览器哪些源是可信的，允许其进行跨域访问，对于主域和子域之间的通信，可以将 Access-Control-Allow-Origin 设置为具体的某个子域名,或者配置动态规则。

• Cookie共享：与localStorage或sessionStorage严格受同源策略限制不同，Cookie可以通过设置domain属性来实现主域与子域之间的共享，在主域名 example.com 下设置一个Cookie时，可以将其domain属性设置为.example.com（注意前面的点），这样所有子域名如 app.example.com 和 shop.example.com 就都能读取到这个Cookie,这对于实现统一的用户认证和会话管理非常有效。

• document.domain：这是一种较旧的方法，仅适用于主域和子域之间，且存在局限性，通过在两个页面的JavaScript中都设置document.domain = 'example.com'，可以欺骗浏览器视它们为同源，但此方法要求协议和端口必须相同,且已不被推荐在新项目中使用。

  

常见场景与解决方案

为了更直观地理解,下表小编总结了几种典型场景及其处理方式：

主域名与子域名是网站架构的有效组织形式，而它们之间天然存在的跨域问题则是开发者必须面对的技术现实，通过灵活运用CORS、合理配置Cookie的domain属性等现代技术手段，我们完全可以化解这一“矛盾”，在保障安全的前提下,构建出功能强大且体验流畅的分布式Web应用系统。

相关问答 (FAQs)

问1：为什么浏览器要实施同源策略，它主要防止了什么安全问题？
答： 同源策略是浏览器的一道核心安全防线，其主要目的是为了防止恶意网站窃取或篡改其他网站上用户的敏感数据，想象一下，如果没有同源策略，当你登录了网上银行（bank.com）后，再打开一个恶意网站（evil.com），该网站页面的JavaScript脚本就能随意向你的银行网站发起请求，读取你的账户余额、交易记录等信息，甚至冒充你进行转账操作，同源策略通过“源”的限制，确保了只有银行网站自己的脚本才能访问其数据，有效隔离了不同来源的Web内容,保护了用户隐私和数据安全。

问2：除了CORS和设置Cookie的domain属性，还有没有其他方法可以解决跨域问题？
答： 有的，除了上述两种最常用和最推荐的方法外，还存在一些其他的跨域解决方案,但它们各有其适用场景和局限性：

1. JSONP（JSON with Padding）：一种较老的、利用<script>标签不受同源策略限制的特性来实现跨域的技术，它只支持GET请求，且存在安全风险（如回调函数被注入恶意代码）,现在已基本被CORS取代。
2. 代理服务器：在浏览器和目标服务器之间搭建一个中间代理服务器，浏览器请求同源的代理服务器，再由代理服务器向后端的目标服务器发起请求，然后将结果返回给浏览器，因为服务器之间的通信不受同源策略限制，所以可以绕过浏览器限制，这是一种非常通用和可靠的方案,但需要额外的服务器资源。
3. postMessage API：主要用于解决不同窗口或iframe之间的跨域通信问题，一个窗口可以通过postMessage方法安全地向另一个窗口发送消息，即使它们的源不同，接收方可以监听message事件来获取数据,并可以验证消息来源以确保安全。