IE iframe 跨域 Session 遺失解決方案：P3P 標頭完整設定指南

問題現象

網站 A 以 <iframe> 嵌入網站 B 的登入頁。在 IE（含 IE11）中，iframe 內的 Session 無法寫入/讀取，導致登入失敗；Chrome、Firefox 正常。直接訪問網站 B 網址則無問題。

根本原因

IE 對「第三方 Cookie」（iframe 跨域 Cookie）預設封鎖，除非伺服器傳送 P3P (Platform for Privacy Preferences) 標頭聲明隱私政策，IE 才允許在 iframe 中接受/發送 Cookie，進而維持 Session。

解決方案：在 iframe 目標頁面（登入頁、處理頁）最前端輸出 P3P 標頭

<?php
// 必須在 session_start() 之前，且在任何輸出之前
header('P3P: CP="ALL ADM DEV PSAi COM OUR OTRo STP IND ONL"');
session_start();
// 後續登入邏輯...
?>

P3P 標頭參數說明

CP="..." 為簡略政策代碼，常用組合：

• ALL：所有資料類型
• ADM：行政用途
• DEV：開發改善
• PSAi：偽匿名決定支援
• COM：商務用途
• OUR：自身及關聯實體
• OTRo：其他接收方（選擇性）
• STP：保留期限依政策
• IND：個體決策
• ONL：線上聯繫

亦可使用精簡版 CP="CAO PSA OUR"（Microsoft 官方範例）。

進階情境與補充

Java 版本

response.addHeader("P3P", "CP=\"CAO PSA OUR\"");

若仍失效，檢查清單

1. 確認標頭在 任何輸出前發送（含 BOM、空白行）。
2. 確認 session_start() 在標頭之後。
3. 檢查網域是否包含底線（如 your_domain.com），IE 對含底線網域的 Cookie 處理有缺陷，建議避免使用底線。
4. 若使用 location.href JS 導向，確保導向目標同樣輸出 P3P 標頭。
5. 現代 IE/Edge 已棄用 P3P，長期方案請改用 SameSite=None; Secure Cookie 屬性 + HTTPS，並遷移至同網域架構（子網域共享 Session）。