security - nginxでのサブドメインCookie共有

Question

私はサーバーを持っており、いくつかのサイトを実行しています。例：example.coma.example.comb.example.comすべてのサイトはnginx経由でunixドメインソケットにルーティングされます。各サイトはgunicornインスタンスです。

サブドメインのアプリケーションは、example.comまたは他のサブドメインからCookieデータを読み書きできますか？はいの場合、それを無効にする方法は？

Answer 1

もちろん、サブドメインに個別の Cookie を使用できます。Cookie 標準では、ブラウザーが Cookie を送り返す唯一のドメインとなるドメインを設定できます。「a.example.com」をドメインとして設定すると、ブラウザはそのドメインからそのドメインにのみ Cookie を送信します。

Cookie に関するRFC 2965を読んだところ、「a.example.com」は「b.example.com」の Cookie を設定できず、「example.com」のみを設定できます。

肝心なのは、すべてのサブドメインが読み書きできる「example.com」だけでなく、Cookie の「ドメイン」プロパティを使用してサブドメインの Cookie を設定していることを確認することだと思います。