哪些请求应该有P3P标头？

Question

我在一个P3P标题中添加了隐私到一个网站，并想知道标题是否应该只附加到HTML页面，或所有的响应（如图像，CSS和脚本）？

我目前有所有响应头附加，但要确认这是否正确？

Answer 1

P3P标题应该在写入私人信息的页面上传回，例如cookie。头可以传回静态资源，但我怀疑IE做任何事情。如果您进行应用程序范围的P3P标头注入，那么事情应该仍然正常。

在我的情况下，在IFRAME中的Grails应用程序中，当JSESSIONID被首次分配时，我必须在请求周期的早期注入头文件，这样IE才会在适当的时候存储cookie。