在寻找bug时，我发现一个网站设置了会话cookie的域，比如sub1.mydomain.com。但我在sub2mydomain.com中也发现了一个XSS，它允许我创建与domain1mydomain.com(前导点(的会话cookie，并且应用程序将cookie视为有效。
我知道，在客户端方面，没有什么可以做的，浏览器会接受第二个cookie的有效性。问题是web应用程序如何拒绝第二个cookie服务器端？
简单的答案是他们不知道cookie来自哪里。这就是为什么__HOST前缀的cookie存在的原因之一：如果你给你的cookie命名，你就可以把它与从不同来源继承的cookie区分开来。
https://googlechrome.github.io/samples/cookie-prefixes/