能否在另一个域名上使用完整的应用程序嵌入？

[Dev-in-the-BM]

我正在将 Discourse 论坛用作博客的评论区，而博客位于另一个域名上。

我试图使用 Discourse 的完整应用嵌入功能，但用户无法从嵌入页面登录、回复或进行任何交互。

当有人尝试回复时，即使他们已经登录，系统也会将其重定向到新页面进行登录。

在 Discourse 那边登录也没有帮助。

这听起来像是跨站 Cookie 的问题。

有什么解决办法吗？

有任何修复方案吗？

---

抱歉，我对这些 Cookie 相关的东西不太熟悉，所以我使用了 AI 来了解情况并研究可能的解决方案。

如果您不喜欢 AI，可以在此停止阅读。

以下是我从 AI 那里获得的内容，但本文本身（包括所有格式）都是使用我的“自然智能”撰写的。

Gemini 对问题的总结。

@Gemini

“完整应用”嵌入无法识别活动用户会话，当论坛和网站使用不同域名时会出现此问题。

这是因为浏览器将嵌入的论坛视为第三方跟踪器。

现代浏览器默认阻止第三方 Cookie 以保护用户隐私。

Discourse 会话 Cookie 设置为 SameSite=Lax。

如果父域名不同，浏览器不会在 iframe 内发送 Lax Cookie。

由于 Cookie 被阻止，论坛无法看到用户的登录数据。

嵌入默认进入“访客”模式，并在用户尝试交互时触发新标签页。

像将主机列入 Discourse 设置白名单这样明显的修复方法并不奏效。

白名单仅告知 Discourse 允许连接；它无法覆盖浏览器的安全规则。

刷新页面或在新标签页重新登录也会失败，因为浏览器级别的阻止对 iframe 仍然有效。

嵌入本质上被困在一个无 Cookie 的沙箱中。

听起来有正确的方法可以实现这一点，但 Discourse 需要实施这些方法。

@Google Search AI 模式

是的，存在官方支持的 secure 方法，但“旧方法”（仅设置 Cookie）已不再适用。^[1]

如今要在 iframe 中持久化登录状态，必须使用以下三种“官方”浏览器标准之一。选择哪种方法完全取决于谁需要查看登录会话。

1. “私有存储”方法：CHIPS

适用场景：聊天小部件、嵌入式地图或需要仅在特定父网站上保持登录状态的支付表单。

• 工作原理：设置带有 Partitioned 属性的 Cookie。

  • Set-Cookie: session_id=xyz; Secure; SameSite=None; Partitioned;

• 结果：浏览器为您的 iframe 创建一个唯一的“Cookie 存储”，该存储以（您的域名 + 父页面域名）为键。

• 优点：无需用户授权即可自动生效。

• 缺点：会话不共享。如果用户在新标签页直接访问您的网站，他们将 不会 在那里登录。他们仅在该特定嵌入上下文中登录。^[2]

2. “共享会话”方法：Storage Access API (SAA)

适用场景：当您需要 iframe 看到与用户主标签页相同的登录会话时（例如“以 [用户] 身份评论”小部件）。^[3]

• 工作原理：iframe 最初无法读取自己的 Cookie。它必须调用特定的 JavaScript API 来请求访问权限：

document.requestStorageAccess().then(() => {
  // 现在您可以读取跨站 Cookie 了！
});

• 限制：这需要用户操作（如点击）。您通常需要先渲染一个“点击连接”按钮。点击后，浏览器可能会提示用户（“允许 [iframe] 使用 Cookie？”）。
• 优点：授予对您“真实”全局 Cookie 的访问权限。
• 缺点：摩擦较大；需要用户交互/弹窗。^[4][5]

3. “令牌传递”方法（最常见）

适用场景：SaaS 应用将其自有工具嵌入客户仪表板。

• 工作原理：完全不依赖 iframe Cookie。

  1. 父页面处理登录（或已拥有令牌）。
  2. 父页面通过 postMessage 将身份验证令牌（JWT）传递给 iframe。
  3. iframe 捕获令牌并将其存储在内存中（或 sessionStorage），以便附加到 API 请求。

• 优点：完全不依赖浏览器 Cookie 策略；完全跨浏览器兼容。

• 缺点：需要在父页面和 iframe 站点两端进行代码更改。^[6]

总结建议

如果您需要… [4:1][7][8]	使用…
隔离登录（小部件状态无需与主站点匹配）	CHIPS（分区 Cookie）
全局登录（用户已在其他地方登录您的网站）	Storage Access API
控制权（您同时拥有父站点和 iframe）	令牌传递（postMessage）

---

1. https://developer.mozilla.org ↩︎

2. https://help.boldbi.com ↩︎

3. https://developers.google.com ↩︎

4. https://privacysandbox.google.com ↩︎ ↩︎

5. https://learn.microsoft.com ↩︎

6. https://www.blackduck.com ↩︎

7. https://developer.mozilla.org ↩︎

8. https://stackoverflow.com ↩︎

[Lilly (Lillian)]

@Dev-in-the-BM

我正在尝试使用 Discourse 完整应用嵌入，但用户无法从嵌入中登录、回复或进行任何互动。

当有人尝试回复时，即使他们已经登录，系统也会将他们重定向到新页面进行登录。

你的 Discourse 是最新版本吗？请确保更新到最新版本。我登录到正确的论坛后，回复没有任何问题。

匿名回复会打开新标签页进行登录，原因如下：

@Falco

@Heliosurge

如果访客没有账户，系统会提示他们创建账户吗？

是的，它会打开新标签页进行登录。

[Falco]

进入 Rails 控制台并将 SameSite 站点 Cookie 设置为 None。

cd /var/discourse
./launcher enter app
rails c
SiteSetting.same_site_cookies = "None"

[Dev-in-the-BM]

@Lilly

你的 Discourse 是最新版本吗？

是的。

@Lilly

当我登录到正确的论坛时，回复没有问题。

是在同一域名下，还是跨不同站点？

@Lilly

以匿名身份回复会打开一个新标签页进行登录，正如这里所说明的：

@Dev-in-the-BM

当有人尝试回复时，即使他们已经登录，系统也会将其重定向到新页面进行登录。

在那边登录也没有帮助。

[Dev-in-the-BM]

@Falco

进入 Rails 控制台，将相同的站点 Cookie 设置为 none。

我确实想到了这一点，但这显然非常不安全，绝对不是个好主意。

[NateDhaliwal]

@Dev-in-the-BM

我确实想到了这一点，但这非常不安全，显然不是个好主意。

顺便提一下，提出这个建议的人正是协助实现该功能的人 。

[RGJ (Richard - Communiteq)]

@Dev-in-the-BM

我确实想过这个方案，但这显然非常不安全，绝对不是个好主意。

跨域嵌入也不总是最佳选择，不过话说回来。