嵌入YouTube视频的站点Cookie流转与用户身份识别技术问询

1. 涉及的Cookie类型及CSRF令牌说明 #

嵌入场景中传递的是YouTube域名下的会话认证Cookie，比如YSC、LOGIN_INFO这类核心Cookie，它们存储了用户的登录会话标识，用来验证用户身份。
关于CSRF令牌：当你在嵌入视频上触发「稍后观看」这类操作时，对应的请求会自动附带CSRF令牌（通常在请求参数或X-CSRFToken请求头中），和认证Cookie配合使用，防止跨站请求伪造攻击，确保请求是用户主动发起的。

2. iframe与普通标签/链接的Cookie处理差异 #

• iframe的作用：iframe是一个独立的浏览器上下文，加载的是YouTube域名（或其关联子域名）的页面，浏览器会自动将该域名下的所有有效Cookie（包括登录会话Cookie）发送给YouTube服务器，因此YouTube可以直接读取这些Cookie识别用户身份，进而实现「稍后观看」功能。
• 普通标签/链接的情况：
  • 如果是<a>链接，用户点击后会跳转到YouTube域名下的页面，此时浏览器会发送YouTube的Cookie，YouTube自然能识别用户，但这是跳转后的独立站点场景，不属于嵌入交互。
  • 如果是用<video>等标签直接引用YouTube视频源，默认属于跨域资源请求，浏览器不会主动发送YouTube的Cookie（除非同时设置crossorigin="use-credentials"且YouTube服务器允许跨域带凭证），所以YouTube无法通过这种方式识别用户，也就没法触发「稍后观看」。

3. 第三方Cookie与跨站追踪 #

YouTube会通过嵌入的iframe设置第三方Cookie，这类Cookie主要用于用户行为分析、个性化推荐等。在浏览器允许第三方Cookie的情况下，当用户访问多个嵌入了YouTube视频的站点时，YouTube可以通过这些Cookie关联用户的跨站点访问行为，实现追踪。不过目前主流浏览器都推出了第三方Cookie限制策略（比如Chrome的隐私沙箱、Safari的智能跟踪预防），这类跨站追踪的能力已经被大幅限制。

内容的提问来源于stack exchange，提问作者microwth