Cross-site scripting

许多浏览器会阻止第三方cookie，即对浏览器地址栏中显示的域以外的域的请求。这些cookie也称为跨域cookie。此块打破了隐式流，需要新的身份验证模式才能成功登录用户。在Microsoft身份平台中，我们使用带有代码交换验证密钥【Proof Key for Code Exchange】（PKCE）的授权流和刷新令牌，以在第三方cookie被阻止时保持用户登录。

什么是智能跟踪保护（ITP）和隐私沙盒？

Apple Safari有一个默认的隐私保护功能，称为智能跟踪保护（ITP）。Chrome有一个名为“隐私沙盒”的浏览器隐私倡议。这些举措涵盖了浏览器的许多不同的浏览器隐私努力，并具有不同的时间表。这两项工作都会阻止跨域请求的“第三方”cookie，Safari和Brave默认会阻止第三方cookie。Chrome最近宣布，他们将开始默认屏蔽第三方cookie。隐私沙盒包括对分区存储的更改以及第三方cookie阻止。

一种常见的用户跟踪方式是在后台将iframe加载到第三方网站，并使用cookie在互联网上关联用户。不幸的是，这种模式也是在单页应用程序（SPA）中实现隐式流的标准方式。阻止第三方cookie以保护用户隐私的浏览器也可以阻止SPA的功能。