淘宝如何跨域获取Cookie分析

Move to: http://www.iteye.com/topic/1000776

评论

14 楼 无根V稻草 2011-04-13  

不错 没接触过 学习了

13 楼 青衣秀士 2011-04-13  

clue 写道

denger 写道

clue 写道

这算不算一个安全隐患呢？任意的站点都可以访问此数据，从而它们都可以取得淘宝的登录信息。

所以一般经常说 cookie 中不建议存储用户的重要隐私等信息，这里的话应该还算好，主要就是昵称(_nk_ = nickname)。

昵称也是登录帐号吧？（淘宝好像只有帐号名？）
这个其实也挺敏感的，如果某网站还带有注册功能，没准你用的密码和淘宝的一样，so...

虽然淘宝的支付需要数字证书，光有密码不顶用，但还是以防万一嘛


有时不光要考虑帐号安全，还要考虑信息安全。
比如我想知道论坛上某人的淘宝帐号，就发消息引诱他去访问我给他订制的网站；如果他还是卖家，还可以拍个物品得到真实姓名、联系方式等

传说中的人肉么？汗一个……

不要去干坏事哟……

12 楼 libailin 2011-04-13  

不错学习了，刚才去淘宝，跟商城上测试了下，确实如楼主所说

11 楼 ghyghoo8 2011-04-13  

这个要学习的。用处很大

10 楼 clue 2011-04-13  

denger 写道

clue 写道

至少，它应该做下限制，只有Referer为自己分站时才返回数据

另外 Referer 也可以很容易伪造的。

那些“被收集”的浏览器可不会伪造，你伪造也只能收集你自己的cookie而已

9 楼 txin0814 2011-04-13  

不错学习了

8 楼 melin 2011-04-13  

记得以前淘宝内部员工写了一个篇文章，提到使用cookie解决session集中存储的问题。过段时间文章中这段话被删除了。：） 你可以窥探一下、

7 楼 denger 2011-04-13  

clue 写道

至少，它应该做下限制，只有Referer为自己分站时才返回数据

另外 Referer 也可以很容易伪造的。

6 楼 denger 2011-04-13  

clue 写道

denger 写道

clue 写道

这算不算一个安全隐患呢？任意的站点都可以访问此数据，从而它们都可以取得淘宝的登录信息。

所以一般经常说 cookie 中不建议存储用户的重要隐私等信息，这里的话应该还算好，主要就是昵称(_nk_ = nickname)。

昵称也是登录帐号吧？（淘宝好像只有帐号名？）
这个其实也挺敏感的，如果某网站还带有注册功能，没准你用的密码和淘宝的一样，so...

虽然淘宝的支付需要数字证书，光有密码不顶用，但还是以防万一嘛


有时不光要考虑帐号安全，还要考虑信息安全。
比如我想知道论坛上某人的淘宝帐号，就发消息引诱他去访问我给他订制的网站；如果他还是卖家，还可以拍个物品得到真实姓名、联系方式等

传说中的人肉么？汗一个……

嗯，你说的确实有道理，正如楼上兄弟所说 ~ 风险无处不在 

5 楼 clue 2011-04-13  

denger 写道

clue 写道

这算不算一个安全隐患呢？任意的站点都可以访问此数据，从而它们都可以取得淘宝的登录信息。

所以一般经常说 cookie 中不建议存储用户的重要隐私等信息，这里的话应该还算好，主要就是昵称(_nk_ = nickname)。

昵称也是登录帐号吧？（淘宝好像只有帐号名？）
这个其实也挺敏感的，如果某网站还带有注册功能，没准你用的密码和淘宝的一样，so...

虽然淘宝的支付需要数字证书，光有密码不顶用，但还是以防万一嘛


有时不光要考虑帐号安全，还要考虑信息安全。
比如我想知道论坛上某人的淘宝帐号，就发消息引诱他去访问我给他订制的网站；如果他还是卖家，还可以拍个物品得到真实姓名、联系方式等

传说中的人肉么？汗一个……

4 楼 denger 2011-04-13  

clue 写道

这算不算一个安全隐患呢？任意的站点都可以访问此数据，从而它们都可以取得淘宝的登录信息。

所以一般经常说 cookie 中不建议存储用户的重要隐私等信息，这里的话应该还算好，主要就是昵称(_nk_ = nickname)。

3 楼 Durian 2011-04-13  

clue 写道

这算不算一个安全隐患呢？任意的站点都可以访问此数据，从而它们都可以取得淘宝的登录信息。

----
风险无处不在，不差这点。
真出事了，还有运营的兄弟们顶着。

2 楼 clue 2011-04-13  

这算不算一个安全隐患呢？任意的站点都可以访问此数据，从而它们都可以取得淘宝的登录信息。

至少，它应该做下限制，只有Referer为自己分站时才返回数据

1 楼 lixue150 2011-04-13  

<p>嗯，学习到很到很多东西啊</p>