IFrame中Session丢失的解决办法

矫情吗；* 2022-06-14 12:07 1149阅读 0赞

N层IFrame 框架集  
单独测试都是没有问题的，结果再次嵌套问题就来了，登录以后，碰到每个页面检查登录时，SESSION就丢掉了，百思不得其解。百度一下，找到解决方案：  
在开发中，我们经常会遇到使用Frame来工作，而且有时是为了跟其他网站集成，应用到多域的情况下，而Iframe是不能保存Session的。因此，网上可以找到很多相关的文章，如果网站可以采用设置Web.Config中的配置：<sessionState mode="StateServer" stateConnectionString="tcpip=127.0.0.1:42424"   
sqlConnectionString="data source=127.0.0.1;Trusted\_Connection=yes" cookieless="false" timeout="40"   
/>   
把cookieless="false"改成"true"就可以了。但也同样有个小问题，就是如果页面中采用Javascript的window.location.href=''这样的方式来重定向的话，系统会认为这是另一个新的请求，产生一个新的SessionId，导致原Session同样的丢失。所以对于重定向，还是使用Response.Redirect()为好。  
  
  
除了Ifrmae有丢Session问题外，frameset也有同样的问题。Frameset的问题更不移定，是有时会丢，有时不会丢，这更认人头痛，在网上找到了一个方法，在页面page\_onload里添加一语句：   
Response.AddHeader("P3P","CP=CAO PSA OUR");   
FrameSet中的Session丢失问题就解决了。至于里面具体的原因 也没时间去搞懂了。  
  
  
\-----------------------------------------------------------------------------------------------------------------------------------------------  
  
  
在实际操作中，以上设置将导致对方post过来的数据我方接收不到的问题，正确的解决方法应该是：  
  
  
http://www.cnblogs.com/suxvsheng/archive/2007/08/17/860157.html  
  
  
IE框架中访问不同域的网页不能带入COOKIE————是IE浏览器的一个BUG？   
偶然中发现一个IE浏览器的问题：   
站点aa.com的页面a.aspx中存在一个iframe，iframe的src为站点bb.com的b.aspx。b.aspx设置了一个COOKIE（不管临时保存还是长期保存），然后刷新aa.com/a.aspx，bb.com/b.aspx也会被刷新，这时候会发现第二次向bb.com/b.aspx的请求里面并没有带入第一次设置的COOKIE。   
更确切地说：IE浏览器丢掉了框架中不同域的COOKIE。  
  
  
查看浏览器的隐私选项，默认是“中”。现在把隐私的等级修改成“低”，再次做上面的测试，然后发现框架中的COOKIE可以被带入了。   
从这个现象来看，应该是IE出于安全考虑而做了限制。但是！！！处于不同的两个域的的页面，应该被看成打开了两个互不相关的浏览器窗口，大家各自设置自己的COOKIE，各自带入到下次请求中，只要互不影响，不应该受到限制。   
恩，那么，为什么要限制呢？看来还是微软的程序员对自己浏览器的安全没什么信心，担心同一浏览器窗口不同域的情况下，黑客仍可能获取另一域的COOKIE，所以干脆把其中一个域的COOKIE干掉！！！人家FireFox为什么就没这种限制？  
  
  
===========================================================================  
  
  
  
  
问题根源:  
  
  
IE6/IE7支持的P3P(Platform for Privacy Preferences Project (P3P) specification)协议默认阻止第三方无隐私安全声明的cookie，Firefox目前还不支持P3P安全特性，firefox中自然也不存在此问题了。Mircosoft对此的具体描述可以参见 Privacy in Internet Explorer 6  
  
  
解决方法:  
  
  
很简单，在要嵌入的内容中(iframe指向的站点)输出P3P的主机头声明，步骤如下(Session variables are lost if you use FRAMESET in Internet Explorer 6)：  
  
  
1.打开IIS管理器 inetmgr   
2.选择被嵌入iframe源站点或者目录，右键点击打开属性框   
3.切换到HTTP头   
4.添加   
5.自定义HTTP头名: P3P   
6.自定义HTTP头值: CP="CAO PSA OUR"   
7.关闭属性框退出，即刻生效   
至于上面CAO PSA OUR的具体意思，还是请参考前面的文章:Privacy in Internet Explorer 6  
  
  
至此，iframe框架下session丢失的问题才彻底解决。  
  
  
但是，接受了所有的第三方的cookie会导致服务器安全性能降低，所以，暂时使用该方法，以后再摸索更好的解决方案