safari上iframe第三部分中的会话变量不起作用

在Safari浏览器上，如果在iframe的第三部分中使用会话变量，可能会出现不起作用的情况。这是因为Safari浏览器对于跨域的iframe访问有一些限制。

会话变量是一种在Web应用程序中存储和跟踪用户信息的机制。它们通常用于在不同页面之间共享数据。在iframe中使用会话变量可以方便地在不同页面之间传递数据。

然而，在Safari浏览器中，由于安全策略的限制，跨域的iframe无法直接访问父窗口的会话变量。这意味着在iframe的第三部分中使用会话变量时，可能无法获取到正确的值。

解决这个问题的一种方法是使用postMessage API进行跨窗口通信。通过在父窗口和iframe之间发送消息，可以实现数据的传递和共享。具体步骤如下：

在父窗口中，使用postMessage方法向iframe发送消息，将会话变量的值作为消息的参数传递。
在iframe中，通过监听message事件，接收来自父窗口的消息，并提取会话变量的值。
在iframe中使用提取到的会话变量的值进行相应的操作。

这种方法可以绕过Safari浏览器的安全限制，实现在iframe中使用会话变量的效果。

关于腾讯云相关产品，推荐使用腾讯云的云服务器（CVM）和云数据库（CDB）来搭建和管理云计算环境。云服务器提供了可靠的计算资源，云数据库提供了可扩展的数据库服务。您可以通过以下链接了解更多关于腾讯云云服务器和云数据库的信息：

腾讯云云服务器（CVM）：https://cloud.tencent.com/product/cvm
腾讯云云数据库（CDB）：https://cloud.tencent.com/product/cdb

相关·内容

Web Security 之 Clickjacking

这项技术实际上就是通过 iframe 合并两个页面，真实操作的页面被隐藏，而诱骗用户点击的页面则显示出来。...而点击劫持无法则通过 CSRF token 缓解攻击，因为目标会话是在真实网站加载的内容中建立的，并且所有请求均在域内发生。...CSRF token 也会被放入请求中，并作为正常行为的一部分传递给服务器，与普通会话相比，差异就在于该过程发生在隐藏的 iframe 中。...X-Frame-Options 头为网站所有者提供了对 iframe 使用的控制（就是说第三方网站不能随意的使用 iframe 嵌入你控制的网站），比如你可以使用 deny 直接拒绝所有 iframe...、实施和测试，并且应该作为多层防御策略中的一部分使用。

1.6K1 0

界面劫持之点击劫持

02 页面劫持发展历程界面操作劫持攻击实际上是一种基于视觉欺骗的 web 会话劫持攻击，核心在于使用了标签中的透明属性，他通过在网页的可见输入控件上覆盖一个不可见的框，使得用户误以为在操作可见控件...，而实际上用户的操作行为被其不可见的框所劫持，执行不可见框中的恶意代码，达到窃取信息，控制会话，植入木马等目的。...2.3触屏劫持随着触屏技术的发展，clickjacking 的攻击方式也更进一步，2010年斯坦福公布触屏劫持攻击。通过将一个不可见的 iframe 覆盖到当前网页上就可以劫持用户的触屏操作。...03 点击劫持原理3.1透明层+iframe透明层使用了 CSS 中的透明属性，在（Chrome，FireFox,Safari,Opera浏览器）中：opacity：0.5；数值从0到1，数值越小透明度越高...除了 Chrome 和 safari 以外，还支持第三个参数 Allow-From（白名单限制）。

7232 0

使用IdentityServer出现过SameSite Cookie这个问题吗？

首先，如果您为 Web 应用程序和身份验证服务器使用单独的域，那么 Chrome 中的这种更改很可能会破坏部分用户的会话体验。第二个问题是它还可能使您的部分用户无法再次正确注销您的系统。 1....无论您是否直接导航到该域，如果浏览器只是从该域加载资源（即图像），向其发送 POST 请求或将其中的一部分嵌入到 iframe 中。...在这种情况下，应用程序会创建一个用户不可见的 iframe，并在该 iframe 中再次启动身份验证过程。...IdP 的网站在 iframe 中加载，如果浏览器沿 IdP 发送会话 cookie，则识别用户并发出新令牌。现在 iframe 存在于托管在应用程序域中的 SPA 中，其内容来自 IdP 域。...幸运的是，是的。如果您已经设置 SameSite=None，您可能已经注意到您的应用程序或网站在 iOS 12 和 macOS 10.4 上的 Safari 中无法正常工作。

1.5K3 0

谁能帮我们顺利过渡到没有三方 Cookie 的未来？

例如，当用户访问站点 A 时，来自站点 C 的 iframe 内容可以在用户的浏览器上设置一个 Cookie 来响应跨站点的请求。...为了保护用户的隐私，浏览器供应商正在对这种行为进行限制，并逐步停止对第三方 Cookie 的支持。目前 Safari 已经完全禁止了三方 Cookie，Chrome 也宣布将会在未来的两年内弃用。...还是上面的例子，我们在站点 A 中通过 iframe 嵌入了一个站点 C，正常情况下如果三方 Cookie 被禁用后，C 是无法在 A 站点访问到它的 Cookie 的。...如果 C 在它的 Cookie 上指定了 Partitioned 属性，这个 Cookie 将保存在一个特殊的分区 jar 中。...它只会在站点 A 中通过 iframe 嵌入站点 C 时才会生效，浏览器会判定只会在顶级站点为 A 时才发送该 Cookie。

7782 0

Web 嵌入 | Electron 安全

0x01 简介大家好，今天和大家讨论的是 Web 嵌入，无论是网站还是应用程序，在部分场景下我们需要嵌入一些第三方的 web 内容，例如我写了篇技术文章，其中部分包含视频内容，我上传到 B 站上了，...我想把这段内容嵌入到我的技术文章中，就可能要使用 web 嵌入技术在 Electron 中有三种方式可以让你在Electron的BrowserWindow里集成（第三方）web内容，...在之前的 nodeIntegrationInSubFrames 文章中，已经对 iframe 进行了部分介绍，这是一种现在通用的 web 嵌入方案，既然要加载第三方页面，那么肯定是允许跨域的，但跨域请求的地址受...，渲染进程访问 iframe 内变量的方式如下 iframe 页面设置变量 window.flag = "strings for iframe" 渲染进程可以使用 iframe 的 name 属性或者序号来获取...]['flag']); }, 1000); 这里设置了 1 秒的延时，保证 iframe 那边设置变量完成这样就可以直接获取到 iframe 中的 window 对象了同源的情况下 iframe

7031 0

腾讯三面：Cookie的SameSite了解吧，那SameParty呢？

但在safari中如果这样设置，会被当作same-site:strict 可以看到，在safari中使用的全是第一方cookie，直观的体验就是在天猫登录完，打开淘宝，还需要再登录一次。...SameSite修改带来的影响像a链接这种，没有受到影响，依旧会带上三方cookie，这样可以保证从百度搜索中打开淘宝，是有登录状态的。但是对大部分业务的影响是巨大的，比如监控埋点系统。...为什么埋点监控用会图片的src，之前详细写过一篇文章，戳这里为了解决这些问题，大部分公司目前的解决方案是设置same-site:none并且配合secure，就可以像以往一样，继续携带第三方cookie...目前处于比较柔和的过渡期，因为在大部分浏览器中，我们可以简单地将它调整回same-site:none来解除这些限制，和以前一样畅通无阻。...但未来这项限制终将无法脱下，same-party才是版本答案，有了它，我们可以灵活定义哪些站属于业务意义上的“第一方”，哪些才是我们想要的“第三方”。

1.1K1 0

js扩展

','第二个变量'); * * @returns 格式化后的字符串 */ zj.formatString = function(str) { for (var i = 0; i < arguments.length...temp.appendChild(opt); } document.body.appendChild(temp); temp.submit(); } 获取字符串的分隔符之前部分.../** * 获取字符串的分隔符之前部分 */ zj.getLeftStr = function(str, delimiter) { return str.substring(0, str.indexOf...*safari/)) ?...) { scan = { "bowser" : "safari", "version" : zj.getLeftStr(Sys.safari

1.2K3 0

【Web技术】582- 聊聊 Cookie “火热”的 SameSite 属性

当为会话性 Cookie 的时候，值保存在客户端内存中，并在用户关闭浏览器时失效。...Lax 允许部分第三方请求携带 Cookie None 无论是否跨站都会发送 Cookie 之前默认是 None 的，Chrome80 后默认是 Lax。 3....从上图可以看出，对大部分 web 应用而言，Post 表单，iframe，AJAX，Image 这四种情况从以前的跨站会发送三方 Cookie，变成了不发送。...Post表单：应该的，学 CSRF 总会举表单的例子。 iframe：iframe 嵌入的 web 应用有很多是跨站的，都会受到影响。 AJAX：可能会影响部分前端取值的行为和结果。...需要 UA 检测，部分浏览器不能加 SameSite=none IOS 12 的 Safari 以及老版本的一些 Chrome 会把 SameSite=none 识别成 SameSite=Strict，

1.8K2 0

postMessage实现跨域通信

浏览器支持(至2012-02-27) web通信已经被Opera, Chrome, Safari支持，尽管Safari≤ 5.1.2的版本有bug....例子很简单，页面上两个iframe框架，左侧的可以输入信息，点击确认按钮后，输入的信息可以在右侧的iframe中显示。您可以狠狠地点击这里：两个iframe之间的跨文档通信demo ?...demo主页面有个名为message的全局变量，当点击男生按钮的时候，这个变量值变成“我是男生，帅气的男生！”；点击女生按钮则是“我是女生，漂亮的女生！”。...请考虑以下情形：人人网上(http://renren.com)嵌入了一个第三方的游戏页面（通过iframe的形式，如“人人餐厅”），同时，这个第三方的游戏页面(http://game.com)又需要从另外一个通讯录网站...文章以开始的兼容性部分已经提过，FireFox浏览器目前还不支持通信通道，因此，上demo需要在Opera或是Chrome浏览器下打开。

1.6K2 0

注意，这个 JavaScript 事件即将弃用！

理论上，它可用来在用户离开页面时运行一些代码，或者作为会话回调结束时运行代码。 <!...这算是一个历史遗留问题，其实 Safari 也早就对它进行了弃用。...怎么检测 Lighthouse 有一项专门的 no-unload-listeners 检测，如果页面上的任何 JavaScript（包括来自第三方库的 JavaScript）添加了unload 事件侦听器...unload 的配置：递归地禁用当前页面及其所有子 iframe 的 unload事件，可以添加如下 Header： Permissions-Policy: unload=() 递归地禁用当前页面及其所有子...iframe 的 unload事件，但是想保留部分页面的： Permissions-Policy: unload=(https://www.conardli.com) 只是上知道网站上是否有调用 unload

4222 0

Safari URL重定向漏洞（CVE-2016-4585）利用分析

20160921.html ,有改动原作者：プロフェッショナルサービス事業部　寺田健译者：Holic (知道创宇404安全实验室) 0x00 漏洞概述漏洞简介 URL重定向漏洞有时会造成与上下文变量有关的漏洞...经过一系列实验，想出以下思路：攻击者服务器上的响应： ?...此时对目标服务器上的请求：在接收到Location之后，Safari连接至example.jp:80,发送的Host头如下 Host: example.jp:evil 开始部分的a@被当做了基础认证信息...想到的最好的利用方法便是iframe了，我们可以找个在header中"X-Frame-Options"限制宽松的站进行测试。原作者的示例如下： ?...可以使用GET 和 POST的HTTP请求方法，使用302或者307进行跳转在iframe中，base URL继承自父页面，奇怪的是至今<base href=被完全忽略了 JS是在blank域下执行的

1.4K7 0

自动化-Appium-第一个Demo-Web（Python版）

`instruments -s devices`得到的可使用的设备名称之一 # 在Android上，这个关键字目前不起作用 desired_caps['deviceName'] = 'honor' #...`instruments -s devices`得到的可使用的设备名称之一 # 在Android上，这个关键字目前不起作用 desired_caps['deviceName'] = 'honor' #...，大部分报错都是浏览器与浏览器驱动的版本不匹配所产生的。...方式一：通过Mac上的Safari 首先将模拟器上的Safari打开，之后访问百度首页；之后打开Mac上的Safari，选择开发--->模拟器，可以看到此时模拟器打开的Webview页面，例如：百度首页...方式一：通过Mac上的Safari 首先将真机上的Safari打开，之后访问百度首页；之后打开Mac上的Safari，选择开发--->真机（真机名为test），可以看到此时真机打开的Webview页面，

2.4K1 0

关于H5唤醒APP的功能实现(千辛万苦啊!)

啥话不说,先上js代码 //启动app方法 function startApp(url, url2) { //url是跳转的scheme地址,这个建议下个反编译的软件,去第三方apk查他们设置的...scheme_url和scheme_host是什么,我就是这样干的 //url2是应用下载地址,要分清ios和android的不一样 //将下载地址保存到全局变量 downloadUrl =...并启动应用入口 openApp(url); } } function openApp(src) { // 通过iframe的方式试图打开APP，如果能正常打开，会直接切换到APP...,网上大多的教程都是定时器,不是定时器的我又不明白人家啥意思,而且大部分都是安卓的,ios就是坑。...safari不支持iframe的跳转,就搞的我人都凌乱了,只能自己想办法,这个之前那个两个定时器控制的调转差不多,将就着看吧！

9913 0

Java 最常见的 208 道面试题：第八模块答案

等函数）；这时会出现一个问题，就是我们在程序中调用的读取数据函数不能及时的把缓冲区中的数据拿出来，而下一个数据又到来并有一部分放入的缓冲区末尾，等我们读取数据时就是一个粘包。...（放数据的速度 > 应用层拿数据速度） ? 84. OSI 的七层模型都有哪些？应用层：网络服务与最终用户的一个接口。表示层：数据的表示、安全、压缩。会话层：建立、管理、终止会话。...GET请求参数会被完整保留在浏览器历史记录里，而POST中的参数不会被保留。 GET请求在URL中传送的参数是有长度限制的，而POST么有。...对参数的数据类型，GET只接受ASCII字符，而POST没有限制。 GET比POST更不安全，因为参数直接暴露在URL上，所以不能用来传递敏感信息。...避免该错误，可以在Safari浏览器中勾选开发菜单==>停用跨域限制。或者只能使用服务器端转存的方式实现，因为Safari浏览器默认只支持CORS跨域请求。

8803 0

自动化-Appium-第一个Demo-Web（Java版）

这个关键字的值必须是使用`instruments -s devices`得到的可使用的设备名称之一 // 在Android上，这个关键字目前不起作用...这个关键字的值必须是使用`instruments -s devices`得到的可使用的设备名称之一 // 在Android上，这个关键字目前不起作用...方式一：通过Mac上的Safari 首先将模拟器上的Safari打开，之后访问百度首页；之后打开Mac上的Safari，选择开发--->模拟器，可以看到此时模拟器打开的Webview页面，例如：百度首页...这个关键字的值必须是使用`instruments -s devices`得到的可使用的设备名称之一 // 在Android上，这个关键字目前不起作用...方式一：通过Mac上的Safari 首先将真机上的Safari打开，之后访问百度首页；之后打开Mac上的Safari，选择开发--->真机（真机名为test），可以看到此时真机打开的Webview页面，

2.2K1 0

记录工作中遇到的各种问题（Bug，总结，记录）

最近一年，在开发实践过程中遇到了不少问题，大多都能得到解决部分知其原理，部分只能做到解决问题，而半年前遇到的问题，或多或少都忘得差不多了是该记录一下一些问题，防止再遇到就得再查资料了 1....第三个坑是它给只读的style属性赋值，这种方式在严格模式是被禁止的，而这插件正好自个又用了严格模式坑就坑在：在Angular.JS（1）环境下使用iPad的时候才报错，PC上用Angular.JS正常...在smarty环境下，通过后端拿到了一个变量值放在a标签的href属性中，点击后跳转的链接不对，即链接直接附在了当前页面url的后面，将http:// 替换成 // 却成功了，这还不知为啥.. ?...iPhone或iPad的safari浏览器通过嵌入pdf来预览时，只能看到第一页，无法滚动翻页查看更多这个问题是ios自家的bug了，所以为了解决，只能引入第三方支持（不再使用浏览器自身支持的...在页面中预览doc、docx文档时，可以使用第三方链接，设置需要预览的文档路径即可详见第一种是使用Google Docs Viewer <iframe src='https://view.officeapps.live.com

18.1K1 2

解读selenium webdriver

自然语言框架/工具（如Cucumber）可能作为上图中那个测试框架框的一部分而存在，也可能将测试框架完全包裹在自己的实现中。...尽管所有的驱动程序都共享一个用于控制浏览器的面向用户的界面，但它们在设置浏览器会话的方式略有不同。由于许多驱动程序的实现是由第三方提供的，所以它们并不包含在标准的Selenium发行版中。...在Linux或macOS上，这意味着要修改PATH环境变量。你可以通过执行下面的命令来查看系统路径中由冒号分隔的目录。...假设你遵循了上一节的代码示例，你将会把之前的窗口句柄存储在一个变量中。...主要的区别是，远程WebDriver需要被配置，以便它能在单独的机器上运行测试。远程WebDriver由两部分组成：一个客户端和一个服务器。

6.7K3 0

一切为了营收！如何从推广短信链接唤起 App

：在 App 运营过程中，会有大量的推广短信，里面附有链接，目的是引导用户参与活动。...如果用户手机没有安装我们的 App 就引导其去下载页，如果用户已经安装了我们的 App 就直接在 App 中打开对应的活动。...方案二 : 点击短信经 “浏览器中” 转唤起第二种，经浏览器中转唤起，也就是点击短信链接后先用浏览器打开对应页面，在页面中进行“判断”（实际上不是真正的判断，而是发一个scheme给系统）如果安装了.../537.36 可以看出小米浏览器是在 Chrome 原生浏览器的 UA 上增加了 XiaoMi/MiuiBrowser/8.9.5 这部分特征码。...类似的，很多第三方浏览器都是在 Chrome 基础上增加自己的特征码，换句话说 Chrome 原生浏览器 UA 没有自己的特征。

2.5K2 0

对抗蠕虫 —— 如何让按钮不被 JS 自动点击

例如，把按钮放到一个不同源的 iframe 里，这样就和 XSS 所在的环境隔离了！不过，这样还不够。...事实上，有个很简单的办法：我们干脆让 HTTP 请求也通过 iframe 发送。这样，后端通过 referer 即可检测请求是否为 iframe 发起的。...另外，通过第三方服务器发表是不算的。这里为简单，省略了登录态；真实场合下，会话 Cookie 是 HttpOnly 的，无法被 JS 获取到，也就无法让第三方服务器代替发表。...，内部变量 S 置为 true，同时将点击消息告知主页面（postMessage）主页面收到消息后，让 A 产生 onclick 事件使用者将 HTTP 请求数据，通过 A 的 send 方法扔给...iframe iframe 校验内部变量 S：若为 true，则将数据通过 AJAX 发送；否则放弃服务器校验 referer：若为 iframe 的地址，则继续业务逻辑；否则放弃 iframe 收到

9.2K6 0

如何使用 HTTP Headers 来保护你的 Web 应用

这三个指令基本上可以指示客户端和中间代理不可使用之前缓存的响应，不可存储响应，甚至就算响应被缓存，也必须从源服务器上重新验证。...JavaScript 代码注入到 HTTP 请求，注入的代码「映射」到响应中，并由浏览器执行，从而使恶意代码在可信任的上下文中执行，访问诸如会话 cookie 中的潜在机密信息。...Internet Explorer 是第一个推出这种机制的，在 2008 年的 IE 8 中引入了 XSS 过滤器的机制，而 WebKit 后来推出了 XSS 审计，现今在 Chrome 和 Safari...这个强大的元素有部分重要的使用场景，比如在 web 应用中嵌入第三方内容，但它也有重大的缺点，例如对 SEO 不友好，对浏览器导航跳转也不友好等等。其中一个需要注意的事是它使得点击劫持变得更加容易。...恶意 web 应用程序可以通过在其恶意应用中嵌入合法的 web 应用来利用 iframe 进行点击劫持，这可以通过设置 opacity: 0 的 CSS 规则将其隐藏，并将 iframe 的点击目标直接放置在看起来无辜的按钮之上

1.2K1 0

点击加载更多

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云